[水一帖] 说起个人隐私数据安全这种事情，我能直接看到所有用户的信用卡账号和安全码是什么水平

我三年前就职于某头部海外电商平台，因为涉及到自动续费功能，该开发该功能时，平台是直接明文记录了用户的信用卡账号和安全码。
不过因为数据存在产品环境数据库内，而该平台对数据库的权限卡的非常死，所以说只要DBA不瞎搞，还是相对安全的。
然后重点就来了，因为某个蠢货上错了价格，那段时间退款非常多，客户对退款流程太长非常不满，于是客服那边就要求人工介入，并开发了一个名为“金手指”的功能，让客服可以直接查到客户的全部信息，其中就包括了信用卡账号和安全码。虽然在金手指账号权限管理上做足了功夫，最终也及时注销了所有账号，但我们几个开发心里都清楚，这个api并没有从代码库里移除掉(其实是大家都忘了)。
我们用伪造的token一样可以访问api并根据用户名或用户id获取其所有信息。而用户名在评论里就可以看得到。
好在我们几个都是奉公守法的公民，并没有拿这个漏洞去做什么坏事。 其实也不敢
如果有一天我真的走到绝境了，我会拿着所有的钱去海外沽空该平台的股票，然后再发布该漏洞。(目前仍未修复，相关人员均已离职) [s:ac:哭笑]
你看，所有的壁垒其实都是从内部攻破的。