@leisurelylicht 不需要用我是这种完全不懂的弱智的语气来和我说话。一个完整的渗透过程，往往**只需要一个具有杀伤力的 0day**，例子我在之前的回复中应该已经给出来了，请参考 struts2 那么多远程代码执行的洞，以及乌云还活着的时候被刷屏的截图。

你用 cnvd 上搜到的数据来做例子，那么你能告诉我，以 PHP 为例子，你搜到的结果中，有多少是 PHP 语言自身的漏洞，又有多少是使用 PHP 语言开发的应用的漏洞？在语言自身，好吧让我们再加上常见的框架的漏洞中，中高危的又有多少？

你不想谈 APT，我觉得可以理解，跳过。广撒网用扫描器我也认，那在自研，而非随便找个第三方的成品做个二次开发的情况下，你真的觉得用 PHP 的更容易被命中？就因为你上面说的那个并没有什么意义的『数量级的碾压』？


另外我不妨稍微给你的例子补充下，如果所有强盗都是 lv1，而你雇佣到的保镖是 lv10，那有多少强盗就没什么区别了。而雇佣哪个语言的 lv10 的保镖的成本更低呢？（具体问题具体分析，LZ 这个例子很明显他对于 Django 更熟；但通用的情况也是如此么？）

所以我的观点还是，人比语言重要。语言真的，差不了多少。