刚入行那会儿，安全我在招聘网站上刷到一条安全工程师的工程岗位，月薪给到18K，师工要求只有"熟悉OWASP Top 10，资待有渗透测试经验优先"。安全我当时第一反应是工程：这行是不是有点虚高？后来在安全圈混了几年，接触了乙方安服、师工甲方安全部、资待大厂SRC各种角色的安全人，才慢慢摸清这行的工程薪资逻辑——它不像开发那样有相对透明的等级体系，差距可以大到让你怀疑人生。师工

先说乙方。资待乙方安全服务工程师，安全也就是工程大家常说的"安服仔"，起薪普遍在6K到10K之间，师工一线城市稍高些。干的事情主要是渗透测试、漏洞扫描、等保测评、应急响应。出差是常态，一个项目接一个项目，有时候一周跑三个城市。我认识一个在杭州做安服的哥们，工作两年，月薪勉强到12K，但一年有200多天在外面。他说最怕的是客户半夜打电话说"系统被打了，赶紧来看看"。这种岗位的天花板比较明显，做到项目经理或者技术总监，大概能到25K-35K，但再往上就难了，除非你能带团队、拉项目。

甲方安全工程师的待遇就完全不一样了。同样是渗透测试能力，进了甲方，起薪可能直接翻倍。银行、券商、互联网大厂的安全岗，应届生就能给到15K-25K。原因很简单：甲方不缺钱，缺的是能把安全体系搭起来的人。甲方安全工程师的工作内容也更杂——写制度、做合规、推动SDL流程、搞内部培训、应对监管检查。技术深度可能不如乙方，但视野更宽，压力也换了一种形式。我以前一个同事从乙方跳到某股份制银行，月薪从11K涨到22K，年终还有6-8个月。他说最大的感受是：以前是拿命换钱，现在是拿钱换命——因为要背合规的锅。

大厂又是另一个世界。阿里、腾讯、字节的安全岗，校招白菜价大概在20K-25K，SP能到30K以上。社招3-5年经验的，普遍在30K-50K区间。但大厂的安全岗分得很细：应用安全、数据安全、安全研发、风控算法、红蓝对抗。不同方向薪资差距也不小。安全研发因为要写代码，通常比纯安服高出一截。我见过一个做安全开发的朋友，5年经验，base 45K，股票另算。不过大厂现在也在降本增效，安全部门不算核心营收部门，裁员的时候往往首当其冲。

还有一类容易被忽略的——自由职业或者小团队接单。挖SRC、接渗透项目、做安全培训。收入极不稳定，但上限可以很高。我认识一个专门挖某电商漏洞的老哥，一年靠奖金拿了60多万，但他说前两年基本零收入，全靠积蓄撑着。这种模式不适合大多数人，需要极强的自律和技术敏感度。

整体来看，安全工程师的薪资中位数大概在15K-20K之间，但方差极大。决定薪资的核心因素不是"安全"这个标签，而是你所在的行业、公司类型、具体方向，以及你能不能解决别人解决不了的问题。只会用工具扫扫漏洞的，永远在10K上下徘徊；能独立设计安全架构、能跟业务方battle、能扛住监管压力的，才有议价权。这行不缺人，缺的是靠谱的人。工资高的那些岗位，背后都是实打实的能力和项目经验堆出来的。

(责任编辑：休闲)