張海龍、王曉波、吳中驊、劉新高著的這本《同程技術故事》解讀了同程旅遊從技術發展伊始至今的技術故事，其發展過程也並非一帆風順。同程旅遊的研發人雖然踩過坑、走過彎路，但*終還是憑借著堅韌的拼搏精神，克服了一個個艱難險阻，完成了自身和公司的雙飛躍。

張海龍、王曉波、吳中驊、劉新高著的這本《同 程技術故事》以主人公小白入職同程旅遊開始，介紹 了同程旅遊技術發展的心路歷程。小白在同程旅遊擔 任數據庫管理員和運維人員，是同程旅遊創業初期喫 苦耐勞的研發人的典範，也算是見證了同程旅遊研發 的發展歷程。同程旅遊從一開始簡陋的基礎設施，發 展到如今的各種監控繫統、中間件的鋒芒嶄露，在此 期間小白自身也成長頗豐。本書全方位地為讀者講述 了一名同程旅遊研發人員如何一步步地從0轉變到1的 技術故事。 本書總計有6章，前3章講述了同程旅遊的歷史、 業務及每年國慶期間面臨的種種考驗，這些都是同程 旅遊研發的往事；後3章則介紹了如今同程旅遊研發 中的中間件團隊、運維團隊及安全團隊。 本書適合對互聯網技術、大並發、大數據等感興 趣的人群閱讀，能夠幫助初創或成長型公司的技術開 發者選擇正確的技術道路，避免再踩同程旅遊所經歷 過的技術方面的老坑。本書還介紹了在線旅遊行業的 業務特性，所以也非常適合非技術開發方向的旅遊行 業從業者閱讀。

第1章 小白入職
1.1 **行代碼
1.2 不斷前行
1.3 不平凡的大年初一
第2章 一個可以旅遊的網站
2.1 不僅僅是電商
2.2 旅遊網站也不輕松
第3章 決戰國慶之巔
3.1 人山人海
3.2 海量訂單
3.3 大禹治水
3.4 堅如磐石
第4章 分布式中間件
4.1 一個特別的負載
4.2 緩存之鳳凰涅槃
4.3 錯綜復雜的數據庫
4.4 可治理的服務
第5章 運維的苦海
5.1 每天背個鍋
5.2 一場革命
5.3 運維大數據
第6章 黑洞
6.1 安全的挑戰
6.2 成長中的安全團隊

跟大多數公司的安全團隊起步時一樣，同程旅遊 的安全團隊剛開始時隻有一個人，組織架構也是放在 運維團隊裡面的。百廢待興，到底要從哪裡著手呢？ 大家七嘴八舌地出了很多主意，有人說我們應該去買 一堆安全設備，這個人就是安全設備的管理員；也有 人說我們應該去做一些安全規範，這個人就是安全文 檔的編寫者；還有人說我們應該自己挖一些漏洞，這 個人就是安全測試員。這時這個安全工程師**沒有 主意了，被大家說暈了。
還是胖波拍了桌子吼道：“安全是一個體繫工程 ，我們應該將其分為基礎安全、應用安全、安全測試 、漏洞收集等各個方向，來建立一個完整的安全體繫 ，而不是簡單地去修一個圍牆，安全是需要有縱深的 。” 話這麼說是沒錯，但是安全行業人難招啊。安全 工程師在早期基本上是救火隊員的角色。這邊挖一個 漏洞，那邊報一個漏洞，再跟進研發團隊進行修復， 每周出一份安全周報，將本周的安全漏洞、安全進展 及需要協助的地方報告給各相關項目的負責人。在 CTO的鼎力支持下，早期的安全工作進展得還算順利 ，雖然還是隻有一個人，但是在組織架構上已經從運 維部門劃分出來，成立了獨立的安全組（後稱安全團 隊）。但一個人的力量畢竟有限，外部報告的漏洞越 來越多，其中不乏高危漏洞，安全工程師忙得焦頭爛 額，疲於奔命。
沒過多久就發生了一起嚴重的安全事故。安全工 程師收到外部漏洞報告，說線上繫統因為對外開放了 一臺空密碼的FTP服務器，而這臺服務器上同時運營 著一套沒打上*新安全補丁的監控繫統，所以黑客經 過一番探測之後，可以利用漏洞直接切進線上的生產 環境，探測內網的信息，帶來嚴重的威脅。
雖然是**，但安全工程師還是拉上了部門負責 人、運維、網絡等團隊的同事應急響應。過去因為業 務需要快速上線，防火牆上的對外映射等其實是沒有 審批流程的，有人申請，網絡團隊就去執行，時間一 長，已經無法理清哪些對外映射還在用，哪些已經可 以關掉了。而現在出了安全事故，大家不得不坐下來 慢慢梳理了，於是大家用了**這兩天逐條梳理防火 牆的對外映射。盡管大多數報告漏洞的白帽子都是遵 守白帽子黑客道德約束的人，但安全工程師和負責運 維的同事還是對線上**主機的日志進行了審計，以 確保報告者沒有做出格的事情。
事故處理完之後，大家也一起開了復盤會，討論 之後要怎麼做纔能避免類似事故的發生。大家首先達 成了共識：之後防火牆的對外映射需要安全團隊的審 批，因為負責網絡的同事並不能對應用做出安全評估 ，到底能不能做，由安全團隊說了算。
於是順理成章，第2名加入安全團隊的同事是網 絡安全方向的，雖然之前並不是做安全的，但是擁有 豐富的與網絡相關的經驗，以及長時間的防火牆項目 實施和運維經驗。防火牆相關的運維工作也從網絡團 隊移交到了安全團隊。
在早期安全團隊人少的情況下，安全工程師的精 力是*重要的，必須集中注意力應對*急迫的安全威 脅。在預算允許的情況下，安全團隊在早期可以采購 些商業安全設備，比如防火牆、WAF（Web應用防火牆 ）等，能買的可以先買來用上，至少能為安全團隊的 成長贏得一些時間，規避很大一部分風險；另外，安 全團隊找了第三方的安全平臺對公司進行了安全眾測 ，就是在平臺上召集一些可靠的白帽子，在一段時間 內對公司的各個項目從各個維度進行安全評估。
P139－142