九月十七號，周五。

    

    下午两点多的时候林彻在看一份供应商的合同修订稿，何薇標了两处需要改的地方，他看完了觉得没问题，签了字放在桌角等人来拿。

    

    桌面右下角的系统通知弹了一下。

    

    微光物流后台的告警通知，黄色级別，不是红色。

    

    红色是系统故障或数据异常，黄色是非標准事件记录，不需要立即处理但需要存档。

    

    日常运营中黄色告警平均每天七到八条，大多数是配送超时、温控偏差、终端离线之类的常规问题，谢宇的运营团队会在当天处理，不需要他看。

    

    他本来不打算点开。

    

    但通知的標题不是常规的运营告警。

    

    標题写的是：“接口调用拦截药品配送未授权来源“。

    

    药品配送。

    

    他点开了。

    

    …………

    

    告警详情页面加载出来，信息不多，格式是標准的系统日誌模板。

    

    事件类型：接口调用拦截

    

    接口名称：微光物流药品配送（待激活）

    

    调用时间：2021年9月17日 14:23:07

    

    来源ip：121.40.xxx.xxx（杭州）

    

    来源標识：杭州益和堂大药房库存管理系统 v2.1

    

    调用方式：api標准请求

    

    请求內容：查询配送服务可用区域

    

    响应状態：403 forbidden（接口未激活拒绝访问）

    

    处理方式：自动拦截记录存档

    

    他看完了这些栏位。

    

    杭州益和堂大药房，他没听说过这个名字。

    

    应该是杭州本地的一家药房，不大，用的库存管理系统版本號是v2.1，听起来像是某个小型saas供应商的標准化產品。

    

    这家药房的库存管理系统调用了微光物流的药品配送接口。

    

    为什么

    

    他点开了日誌的详细追踪记录。

    

    追踪记录显示，这次调用不是人为操作，是系统自动触发的。

    

    益和堂的库存管理系统在做常规的外部物流服务扫描，类似於手机自动搜索附近的wi-fi信號，系统会定期扫描市面上已知的物流api接口，检测哪些服务可用、哪些覆盖本区域、配送费率是多少。

    

    这是很多小型药房库存系统的標准功能，帮助药房自动比价和选择物流供应商。

    

    微光物流的api在上个月註册了药品配送的接口类型。

    

    註册的时候是林彻自己填的参数，填完保存，状態设为“待激活“。

    

    接口存在於系统中，有標准的api文档和端点地址，但没有激活，任何调用都会被自动拦截並返回403。

    

    益和堂的系统扫到了这个接口。

    

    它发了一个標准的查询请求，问的是“你的药品配送服务覆盖杭州哪些区域“。

    

    微光的系统收到请求，检查接口状態，发现是“待激活“，自动拦截，返回403，记录存档。整个过程不到一秒钟。

    

    没有任何数据泄露，没有任何安全风险。

    

    益和堂的系统收到403之后就跳过了，继续扫描下一个物流接口，不会再试第二次。

    

    一次无意的敲门，门没开，敲门的人已经走了。

    

    …………

    

    林彻靠在椅背上，看著屏幕上的日誌记录。

    

    他在瀏览器里搜了一下“杭州益和堂大药房“。

    

    搜索结果第一页就有。

    

    一家开在拱墅区的社区药房，营业执照上写的经营范围是中西成药、中药饮片、保健食品。

    

    点评网站上有二十几条评价，大部分是附近居民写的，说老板姓孙，人挺好的，感冒药便宜，但有时候缺货，品种不如连锁药房全。

    

    最新的一条评价是上个月写的：“老板说最近在找新的配送渠道，以后可以送药上门了，方便。“

    

    送药上门。

    

    一家社区药房，十几二十平米的店面，店主姓孙，想给附近的居民送药上门。

    

    他的库存管理系统自动扫描物流接口，扫到了微光的药品配送api，发了一个请求，被拦截了。

    

    他不知道自己差一点就连上了一张覆盖247城的物流网络。

    

    林彻关掉了瀏览器。

    

    药品配送接口，待激活。

    

    他两周前自己填的参数，温控標准、资质要求、包装规格、签收流程，一项一项对著国家药监局的文件填的。

    

    填完了，保存了，放在那里了，没告诉任何人。

    

    现在有人敲门了，不是有人来找他，是一家杭州本地的小药房，库存系统在做常规扫描的时候碰到了这个接口。

    

    它不知道这个接口背后站著什么，不知道247城的物流网络，不知道8.2万个团长，不知道12座云仓。

    

    它只是在问：你能送药吗

    

    能，但还不到时候。

    

    他看了看日誌底部的时间戳，14:23:07，精確到秒。

    

    这个接口是活的。

    

    虽然状態是“待激活“，但它在系统里有存在感，有api文档，有端点地址，能被外部系统扫描到。

    

    它像一扇装好了但没开的门，门上没掛牌子，但路过的人能看到门框在那里。

    

    只要他打开，这扇门就通了。

    

    从微光的云仓到团长的店面到社区居民的家门口，药品可以沿著这条链路走完最后一公里。

    

    但不是现在。

    

    他把日誌记录又看了一遍。

    

    调用记录只有一行。

    

    来源：杭州益和堂大药房。

    

    时间：9月17日 14:23:07。

    

    状態：拦截。

    

    他看了三秒。

    

    关掉了。

    

    …………

    

    关掉日誌之后他没有做任何事。

    

    没有给谢宇发消息，没有让技术团队查益和堂的背景，没有修改接口的权限设置，没有把“待激活“改成“激活“，也没有把“待激活“改成“关闭“。

    

    他什么都没做。

    

    接口还在那里，状態没变。

    

    下一次有別的药房或者医疗机构的系统扫到这个接口，还是会收到403，还是会被记录存档。

    

    也许明天就有，也许下周，也许下个月。

    

    每一次403都是一次敲门，每一次敲门都会被记录下来，安安静静地躺在系统日誌里。

    

    冷链医疗配送的接口也还在，跟药品配送並排放著，同样是“待激活“，同样没有人知道。

    

    那个接口更安静，连敲门的都还没有。

    

    血液製品和疫苗的物流体系比药品复杂得多，能扫到这个接口的系统更少。

    

    两扇门，都装好了，都没开。

    

    他端起茶杯，茶凉了，喝了一口，放下了。

    

    窗外的光是下午两点半的光，九月的杭州，太阳还高著，照进来的光斑很短，打在桌面的边缘。

    

    办公桌上何薇送来的合同修订稿还在桌角放著，签过字的那份，等人来拿。

    

    走廊那头有人路过，脚步声很轻，走远了。

    

    他拿起了下一份文件。

    

    系统后台的那条黄色告警在存档列表里安静地躺著，14:23:07，没有人会注意到它。