网站合规运维的7大致命盲区，90%团队竟浑然不觉

　　去年端午，我蹲在测试环境切第七个cookie域名时，总编把选题毙了。不是删稿，是当场说“这选题不能过会”。我手还按在键盘上，Alt+Tab切回Chrome DevTools，那个被标记为“合规白名单”的第三方统计JS——它正往localhost:3000发referer里带身份证后四位的埋点。我截图发他，他看都没点开，手机响了一声，是物业催交6月水电费。

　　我原以为他们至少会问一句“你抓包抓到啥了”，结果总编直接推椅子起身，说“现在重点是用户停留时长，不是埋点路径”。我盯着他后脑勺看了三秒——他新剪的寸头左边有一小片没推干净，泛着青灰。我忽然想起上个月小编来问我：扫码跳转前要不要校验target=_blank的rel属性。我说要。她点了两下鼠标，然后说：“那我先改个文案吧。” 她改的是按钮文案，“立即体验”换成了“一键开启”，连空格都对齐了，就差给button加个呼吸动效。

　　七个盲区？我数得出来，但没一个能写进PPT——第一，所有团队都在测《个人信息保护法》第23条要求的“单独同意弹窗”，可没人去翻后台API返回的HTTP Header里，X-Forwarded-For字段是不是偷偷拼进了日志索引。这个我敢打包票，我们上周刚撞见——某支付回调接口，在nginx access_log里硬编码拼了device_id+imei+mac地址的base64，而前端弹窗只管“是否点击同意”，不管后端存不存。你说荒唐？隔壁桌咖啡洒了，泼在实习生刚打的《App合规自评表》第三页，墨水漫过“数据出境风险评估”那一栏，洇成一团蓝黑，像块未愈合的疤。

　　第二，备案号脚本自动替换。你们谁真校验过footer里那个小小的“京ICP备12345678号-1”的DOM元素，是不是被webpack DefinePlugin在prod环境替换成硬编码字符串，而非从CDN实时fetch？去年端午我扒build产物，在dist/assets/js/main.8d2a9f.js里搜到一串base64解码后是“京ICP备”，可env.ICP_NUMBER在.env.production里写着“12345678号-1”，而工信部公开系统查的是“12345678号-2”。我说这得改，作者叼着棒棒糖含糊应了，转头给我发了个“已修复”的截图——截图里console.log输出的是“icp number loaded”，可我没看见他reload页面。那根蓝色中性笔还横躺在选题会桌上，笔帽没拧紧，滚到了会议纪要打印稿边缘，离“法律意见书待补”那行字只差两毫米。

　　第三，字体授权。别笑。真有团队用阿里巴巴普惠体做金融类官网，理由是“免费商用”。我反编译他们woff2文件，发现font-display: swap里藏着一行注释：/ Alipay_Only_Verified_Websites /。你猜怎么着？他们的CNAME解析指向alipay.com的子域判断逻辑，在DNS层就被运营商劫持过三次，导致部分用户加载的是篡改版字体文件，其中“￥”符号被悄悄替换成“¥”。这不是玄学，是真实发生过的。我跟总编提，他翻了个白眼，顺手把桌上那盒没拆封的端午粽子往旁边拨了拨，盒子底下压着一张KPI分解表，上面我的名字旁边标着“UI自动化覆盖率提升至87%（Q2）”，数字后面画了个歪歪扭扭的勾。

　　第四，隐私政策弹窗的关闭按钮。你们测点击，测焦点顺序，测无障碍标签，但有没有人测过——当用户快速双击叉号时，会不会触发两次close事件，导致iframe内嵌的 Consent Management Platform 脚本执行两遍？这个我说不准，因为第三次复现时，我正用Selenium模拟双击，同事突然喊我帮忙调通一个iOS WebView里的touch-action冲突，我就切走了。回来发现，那个iframe src已经变成about:blank，但console里留着一条warning：[CMP] duplicate initialization detected。外卖凉了，塑料袋皱巴巴堆在显示器右下角，没人碰。

　　第五，GDPR和等保2.0的交叉缝合点。比如，等保要求日志留存180天，GDPR却规定用户撤回同意后需72小时内删除其设备标识。可实际运维中，日志清理脚本跑cron，用户同意管理走MQ异步，两边时间戳差了四分半钟——足够产生137条残留记录。这个细节根本不会进测试用例集，就像没人会测凌晨三点零七分服务器自动重启后，nginx geo模块读取的ipdb是不是最新版。小编后来补了个需求文档，标题叫《隐私策略动态同步方案V3》，正文第一行写着“暂定技术评审”。她写完把电脑合上，屏幕闭合声很轻，像一声叹气。

　　第六，HSTS预加载列表更新。你们谁记得上次手动检查hstspreload.org提交状态是哪天？我查了我们主站的提交记录——三年前，还是前上一任运维干的。现在域名加了两个子域，全没进preloaded list。浏览器第一次访问时，仍会走HTTP明文重定向。这事没报警，没告警，没指标，只有我在某个夜深人静的巡检里，偶然扫到Chrome Security Panel里有个黄色三角叹号。当时我点了放大镜图标，又点了“View Certificate”，然后关掉。没截图，没提Jira，只是把椅子往后一靠，听见椅背弹簧“嘎”一声，像老式收音机换台的杂音。

文章配图，仅供参考

　　第七……算了，第七我不说了。上个月法务部发来邮件，说“鉴于监管趋势变化”，建议将《Cookie使用声明》英文版中“third-party cookies”改为“non-essential cookies”。我打开翻译稿对比，发现中文版早半年就改了，但英文版PDF最后更新日期仍是去年冬至。我回邮件问是否需要同步HTML版本，没人回。三天后，总编在周会上说：“咱们要聚焦增长，合规是底线，不是增量。” 说完他喝了一口已经冷透的美式，杯底积着一圈浅褐色环渍。

　　下次选题会我打算闭嘴。或者带根新笔去，把笔帽拧紧。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!