在日常开发和系统调试中，控制台输出数字是最常见的操作之一。无论是前端页面的调试信息，还是后端服务的日志记录，数字经常作为状态码、时间戳或计数器出现在控制台中。
为什么会在控制台看到数字？
比如你在浏览器按 F12 打开开发者工具，切换到 Console 面板，输入 console.log(404)，回车后就能看到输出了。这个 404 不只是个数字，它可能代表某个资源未找到的状态。很多网站的登录验证流程中，服务器返回的状态码会通过 JavaScript 输出到控制台，方便开发者排查问题。
console.log(200); // 请求成功
console.log(500); // 服务器错误
console.log(Date.now()); // 当前时间戳，也是数字数字背后的安全隐患
看似简单的数字输出，其实可能暴露关键信息。比如某次调试没删掉 console.log(tokenExpiresIn)，结果把令牌有效期直接打在控制台上。攻击者一旦打开页面就能看到，相当于白送线索。
更危险的是，有些开发者习惯用数字标记流程进度，比如 console.log(1) 到 console.log(5) 表示登录流程的五个步骤。这种写法虽然方便定位卡点，但也让攻击者清楚知道认证流程的结构，便于针对性试探。
生产环境别留“脚印”
有家公司上线新功能后发现接口频繁被刷，查了一圈才发现是前端代码里残留了 console.log(attemptCount)。攻击者通过观察输出的递增数字，摸清了请求重试机制，进而绕过频率限制。
建议在项目构建时自动清除所有 console.* 调用，尤其是涉及数字计数、状态标识的部分。可以用 Webpack 配置 UglifyJS，或者用 Babel 插件实现。
// 构建时应移除这类代码
if (debugMode) {
console.log(stepNumber);
}别让数字成为突破口
还有种情况是通过控制台输出的数字推测系统行为。比如每次登录失败都会输出一个递增的错误码，攻击者能据此判断账户是否存在。这种间接信息泄露比明文打印密码还难察觉。
定期检查线上版本的前端代码，搜索 console.log 和数字常量的组合，确保没有无意中暴露逻辑细节。安全不是加个 HTTPS 就完事，每个输出的数字都可能是拼图的一角。