滴滴被审查这事儿，我第一反应是去翻自己去年写的爬虫脚本。不是看热闹，是后脊梁发凉。那些为了抢几个关键词排名、抓竞品价格写的玩意儿，现在看每一行代码都像在雷区蹦迪。DOM树解析得再优雅，XPath写得再精准，有屁用。数据安全这根弦，我们这种野路子出身的，以前是真没绷紧。
2018年那会儿，为了给一个本地生活小程序搞数据，我写过一套专门爬餐饮平台评论的脚本。用asyncio搞异步，用随机User-Agent和代理IP池绕过反爬，还自己模拟了滑动验证码。当时觉得自己牛逼坏了，效率比别人高几十倍。现在想想，那些评论数据里有多少用户手机号尾数、消费习惯、甚至家庭地址的蛛丝马迹？我爬下来，清洗完，就扔在阿里云那个最便宜的OSS桶里，连个加密都没做。为了省那点性能开销。当时的心态就是“谁他妈会来偷我这点破数据”，本质上是一种技术人的狂妄，觉得风险离自己很远。
这种狂妄到了组团队做外包的时候，被放大了。2019年接一个智慧园区项目，甲方要我们对接十几个硬件厂商的API，拉取门禁、停车数据做可视化。那帮厂商的文档烂得像屎，身份认证有的用Basic Auth明文传，有的把token直接写死在请求URL里。我们有个后端为了赶进度，图省事，把这些密钥全写死在项目的config文件里，一起提交到了GitHub私有库。他觉得私有库就安全了。结果呢？GitHub的扫描机器人不是吃素的，虽然没出大事，但被平台警告了。我骂了他一顿，但自己心底也清楚，如果那不是个私有库，如果密钥权限更大点，我们就是下一个窟窿。管理一摊事，精力被稀释，这种底线的、枯燥的安全规范，在交付压力面前就是最先被牺牲的。
所以现在回归一个人干，我反而把这根弦拧死了。尤其是做自动化流程。比如你搞个自动回复用户的机器人，核心不是它多智能，而是它别闯祸。我最近在用n8n搭一个健身学员的常见问题应答流。看起来简单：用户输入“蛋白粉怎么喝”，机器人去Notion的知识库里匹配答案。但这里每一步都得加“锁”。第一锁，输入过滤，把用户消息里的手机号、身份证号模式字符串全给替换成星号，再进入处理流程，从源头避免隐私数据进入你的系统。第二锁，知识库查询权限，Notion那个集成令牌，权限必须卡死在“只读”特定数据库，绝不能给“编辑”甚至“创建”权限。第三锁，输出审查，回答扔给用户之前，用一个简单的正则再扫一遍，确保你自己的知识库模板里不会蠢到把内部联系方式写进去。这些步骤加起来，响应时间可能多了200毫秒，但这点性能代价，在安全面前不值一提。
滴滴的事给所有技术出身的产品经理提了个醒：你设计流程、写自动化脚本时，每一个节点输入输出的是什么数据，这些数据在你这里怎么存、怎么传、多久销毁，必须像条件反射一样过脑子。以前觉得“合规”是大公司法务的扯皮，现在看，那是我们这种“超级个体”能不能活得长久的生死线。你引以为傲的技术效率，很可能正在你毫无察觉的地方，默默积累风险。爬虫爬得再快，不如安全规范写得细。这不是胆怯，这是2021年还能继续在桌上玩牌的资格。
