打开任何一个招聘网站，网络搜索“网络安全工程师”，安全你会看到一堆看起来差不多的招聘职位描述。但仔细扒开那些套话，网络真正决定你能不能拿到面试的安全，往往就那么几条硬指标。招聘

先说学历。网络大厂基本卡本科，安全安全方向尤其明显。招聘不是网络他们迷信学历，而是安全简历太多，筛不过来。招聘某头部厂商的网络HR跟我聊过，一个初级安全岗位放出去，安全三天收到四百多份简历，招聘其中三百份是培训班出来的。她怎么筛？先看学历，再看有没有CISP或CISSP，最后才看项目经历。听起来残酷，但这就是现实。中小公司松一些，专科也有机会，前提是你手里得有能证明能力的东西。

什么算“能证明能力的东西”？CTF成绩、漏洞平台排名、GitHub上的工具项目，甚至一篇像样的漏洞分析博客都算。我认识一个哥们，专科毕业，但他在补天平台上挖了两年漏洞，排名进了前五十。面试的时候，面试官根本没问学历，直接让他讲一个印象最深的漏洞挖掘过程。他讲了四十分钟，面试官听完就说“下周来上班”。

技术栈方面，招聘要求里出现频率最高的几个词：渗透测试、代码审计、应急响应、等保合规。渗透测试几乎成了标配，不管实际工作用不用得上，JD里一定会写。代码审计这两年需求涨得厉害，尤其是Java和PHP方向。应急响应反而被低估了，很多公司招人时不说，进去之后发现天天在救火。等保合规属于“会了不加分，不会很麻烦”的类型，甲方尤其看重。

工具层面，Burp Suite、Nmap、Metasploit这些是基础，不会的话简历关都过不了。但真正拉开差距的是脚本能力。Python几乎是默认要求，能写POC、能改工具、能做自动化。Go和Rust在安全工具开发岗里越来越常见，但渗透岗不强制。有个面试官跟我说过一句话：“工具谁都会用，我要的是工具不好用的时候你能自己写一个。”

经验要求这块，有意思的是，很多JD写着“3-5年经验”，但实际招进去的人可能只有1-2年。安全行业缺人，尤其缺能干活的人。乙方安全公司常年缺人，甲方安全岗相对稳定，但门槛更高。应届生想进甲方，基本得有大厂实习经历或者重量级比赛奖项。乙方门槛低一些，但工作强度大，渗透岗出差多是常态。

证书方面，CISP在国内甲方比较吃香，CISSP国际认可度高但考试成本也高。OSCP在渗透圈子里口碑好，但考试难度不小。有个现象挺有意思：很多招聘要求里写“持有CISP者优先”，但面试时面试官根本不问证书的事，直接问技术细节。证书是敲门砖，敲开了门之后，没人再看你手里那块砖。

软技能这块，招聘要求里通常一笔带过，但实际工作中占比很大。安全岗位经常要跟开发、运维、业务方打交道，沟通能力差的人会非常痛苦。你发现一个漏洞，开发说“这不是漏洞”，你得能说服他。你写一份报告，领导看不懂技术细节，你得能用大白话讲清楚风险。这些能力，简历上体现不出来，但面试的时候聊几句就能感觉到。

最后说一个观察：安全招聘要求里写的技术栈，和实际工作内容往往有偏差。JD里写“负责渗透测试和代码审计”，进去之后可能一半时间在做合规文档。JD里写“负责安全体系建设”，可能实际就是在配WAF规则。看JD的时候，别只看它写了什么，想想它没写什么。那些没写出来的部分，才是你入职后每天要面对的东西。

(责任编辑：时尚)