去年6月，我手里攒了点闲钱，想做一个记录宠物日常的小众社区。
产品逻辑很简单：用户上传猫狗照片，按时间轴排列，可以互相评论。我画完原型图，去某平台发了需求。
三天收到四十多份报价。
最低的一个说3万全包，30天交付，带后台。
我那时候不懂技术，只看到“3万”这个数字比别家便宜一半。聊了两句觉得对方态度还行，就签了。
噩梦从这里开始。
前两周很正常。他每天给我发进度截图，登录页、注册页、首页feed流全做出来了。我还在心里感慨“专业的就是快”。
第19天，他说后台也搭好了，让我验收。
我打开后台一看，用户列表、内容管理、推送配置都有。但总觉得哪里怪。注册时只要手机号，没做任何校验，输入123456都能成功。评论框可以发送一段JS代码。
我问他是不是漏了什么。
他说：“功能都实现就行，安全那些等你量大了再优化也来得及。”
这句话我现在想起来都冒冷汗。
当时我没纠结，想着赶紧上线看用户反馈。封了个测试包发到宠物群里，两天来了700多注册。
第三周出事了。
群里有人私聊我，说他的账号莫名其妙发了条广告动态，配图是博彩网站的链接。他发誓自己没发过。
我赶紧去看数据库。一查，头皮发麻。
后台日志显示，有个管理员账号凌晨3点登录，批量修改了十几个用户的数据。这个账号我根本没创建过。
再翻代码，发现tp框架里多了一个helper.php，表面是字符串处理函数，实际藏着完整的webshell。只要访问特定URL，就能直接执行系统命令。
我找了做安全的朋友帮忙审计。
他花了两个通宵，从代码里挖出30处后门。
有的藏在图片裁切函数里，上传特定名称的png会触发远程下载。有的写在定时任务里，每天自动把新注册用户手机号发到指定邮箱。连支付回调接口都留了篡改金额的口子。
朋友说：“你这是买了个筛子。”
我去质问那个开发者。他装傻，说可能是从GitHub复制的代码没清理干净。我再打电话，已经被拉黑了。
平台介入也没用。合同写的是“功能定制开发”，没约定安全标准。他只算违约，不算违法。
最后这个App我直接下线了。3万打水漂，还搭进去两个月时间，和一屁股道歉。
后来我重新找人，老老实实从需求文档写起。这次找了技术合伙人，以前在阿里干过三年后端。他看了我之前那份代码，笑了半天。
说这种后门密集程度，堪比大学机房的考试系统，从网上下载的源码直接套壳就卖了。对方根本不是在做外包，就是在钓鱼。
我问那现在怎么办。
他说你这项目本身不复杂，重写也就两万出头。但是有些钱绝对不能省：
第一，代码所有权。所有源码必须放你自己的Git仓库，每提交一次让他push到你这边。别信什么“做完一起发”。
第二，权限最小化。数据库账号只给他开发库读写权限，生产环境你自己掌握。千万别把他加进服务器sudo组。
第三，安全审计前置。合同里明确写，上线前由第三方做渗透测试。发现高危漏洞扣尾款。
我按他的建议重做了一版。这次花了三个半月，成本4万8。
上线至今八个月，用户刚过3000，没出过任何安全事故。
后来我把这段经历发到程序员群里。有个干了七八年的老哥说，他接过最离谱的一单，是帮人擦屁股。
那哥们花8万做的电商App，付款完成后本该跳转的第三方支付，被人劫持到了个人账户。两个月没发现，损失了二十几万货款。
最后报警，抓到的只是个买源码改后门的中专生。
我现在每次在小红书刷到“几千块做App”的帖子，都会在下面回一句：
别信。
便宜有便宜的道理。你可能不是客户，是鱼。
所以如果你现在也想做App，别先问“多少钱能做”。先问自己，能不能找个信得过的人，帮你把代码从头到脚摸一遍。
或者如果你有过类似踩坑经历，评论区聊聊——你花的冤枉钱，最后靠什么补回来的？