简介

即使是完美编写的代码也存在风险

假设从现在起，你们组织所编写的所有软件都完全无误。所有开发人员都专注且训练有素，永远不会写出逻辑错误、SQL注入或跨站脚本漏洞的代码。（如果你还不了解这些漏洞是什么，也不用担心。）

啊——安全、舒适、温暖。知道我们完全安全，感觉真不错，对吧？

不，事实并非如此。

即使你编写的每一行代码都完美无缺，你依然面临风险。你依赖大量由第三方提供的软件。我们并不清楚第三方软件中存在哪些漏洞，这些漏洞何时会被公开，或者补丁何时才能发布。

修补工作具有时间紧迫性

更糟糕的是，这种无知状态是极其危险的。一旦某个漏洞被公开，安全研究人员和黑客都会立即开始编写扫描工具，寻找存在漏洞的计算机。

这些扫描工具能让攻击者发现你那些原本没有被攻击动机的公开系统。互联网让每台面向公众的计算机都处于同等接近的位置。即使漏洞的技术细节未被公开，仅提供补丁，但有动机的攻击者仍能通过分析变更内容，尝试找出可能的攻击路径。

作为防御方，我们必须学会使用这些工具，尽早发现自身的脆弱系统，从而在黑客之前完成修复。

                                                 测验  

---

在下一课中，我们将学习高效更新第三方库的技术。