猎聘上挂着一条JD，透工安全工程师，程师薪资区间25K到40K，月薪要求精通内外网打点、透工免杀、程师代码审计，月薪还得会写Python和Go。透工评论区有人酸，程师说这是月薪拿命换钱。我倒觉得，透工能开这个价的程师岗位，通常不是月薪让你天天刷漏洞的。

我认识一个在乙方干了三年的透工哥们儿，跳去甲方做web渗透，程师月薪直接翻了快一倍。月薪他做的事儿没变，还是挖洞、写报告、偶尔做做红蓝对抗。区别在哪儿？乙方是卖人头，按项目收费，人效比卡得死死的；甲方是买安全，预算给得宽，只要你别捅娄子，日子过得滋润得很。所以你看，同样叫“web渗透工程师”，薪资能差出一辆代步车。

刚入行的新人，别指望一上来就月入两万。我见过太多简历，写着“熟悉SQL注入、XSS、CSRF”，问细节就卡壳。你问他SQL注入怎么绕WAF，他说用内联注释。再问，就没了。这种水平，在一线城市也就拿个8K到12K，还得加班加点赶测试报告。这行不吃学历，吃的是你踩过的坑和绕过的狗。

真正值钱的，是那种能独立扛事儿的。比如某电商平台搞促销前，老板最怕的就是被薅羊毛。有经验的渗透工程师会从业务逻辑入手，测优惠券的并发、测订单金额的篡改、测接口的越权。这种活儿，自动化工具扫不出来，纯靠人脑。能搞定这类问题的人，月薪25K起步，上不封顶。因为你知道，一次风控绕过可能让公司损失几百万，而你提前把它堵住了。

还有个事儿挺有意思。很多公司喜欢招“会挖0day”的人，但实际工作中，你哪有那么多时间研究0day？大部分时间都在跟开发扯皮，催他们修漏洞。所以沟通能力反而成了隐形加分项。我一个同事，技术不算顶尖，但特别会写报告，能把漏洞风险量化成业务损失，老板看了立马批预算。他现在的薪资，比团队里那个闷头挖洞的还高。你说气不气人？

地域差异也大。北京上海深圳，web渗透的中位数大概在15K到20K，但同样的岗位放到成都武汉，可能就砍到12K左右。不过别急，现在很多公司搞远程办公，我见过一个在二线城市拿一线薪资的，前提是你得证明自己靠谱。怎么证明？GitHub上有高质量项目，或者参加过护网红队拿过名次，这些都算数。

最后说个扎心的。这行吃青春饭的说法流传很久了，其实不全对。三十四五岁还在一线挖洞的确实少，但转去做安全架构、售前或者管理的，反而吃香。前提是你前几年积累的不是单纯的“漏洞复现”技能，而是对整个业务系统的理解。所以，别只盯着Burp Suite里的那个按钮，多想想你测的这个系统，它到底在帮公司赚什么钱。

月薪数字只是个结果。你值多少钱，取决于你能帮老板省多少钱，或者帮他避免赔多少钱。这话糙，理不糙。

(责任编辑：时尚)