上一篇
聪明的人已经发现，今年的网络安全不对劲了！！！
💼 网安专业，别赌"毕业就有对口工作"
先说个我自己的观察。网络安全这几年是显学，招生简章写得漂亮，就业率也好看。但我认识的这拨人里，毕业时真能拿到对口、薪资像样、还是正经公司安全岗的，十个里挑不出两三个。
剩下的去哪了？一部分转行，去考公、考研、做别的；一部分去做运维、做网络，跟安全挨点边；还有些人挂着"安全工程师"的名头，日常其实是填表、写周报、帮人跑扫描。也见过投了半年简历没下文的。
问题不在行业。
行业缺人缺得厉害，缺的是能上手干活的人。学校那套课程和企业要的东西，中间隔着挺远一段路。你要是大学几年把宝全押在"我读的是网安专业，毕业自然有人要"，那很可能会被现实敲一下。
就业去向分布（饼图）：信息安全 30.45% · 互联网 19.59% · IT信息技术 16.38% · 专业服务/咨询 12.54% · 电子通信 7.35% · 政府 5.18% · 金融 4.60% · 其他 3.91%
🎓 在校生真正能走的路其实就两条：
🎓 一条是考研考公，拿学历和编制兜底
⚔️ 另一条是死磕实战，毕业时手里揣着真东西。想两头都占、又都不下功夫的，最后常常两头落空。
🏫 实习这事，别拖到大四才想起来
有几个做大厂校招的朋友跟我说过一句挺直白的话：应届的简历，如果没有任何安全方向的实习经历，基本过不了初筛。这话不好听，但值得信。课程分数、在技术岗的筛选里权重比你想的低，面试官想知道的就一件事——这人来了能不能。
所以别嫌实习"打杂"。360、腾讯安全、奇安信这种地方，哪怕你只是跟着师傅复现漏洞、整理报告、跑跑扫描，这段经历的分量也远超校内的评优和奖学金。学校一般的同学反过来靠一段像样的实习翻身，这种例子我见过不止一个。
⏰ 时间点很关键
大二下学期到整个大三，是抢实习的窗口；拖到大四才动手，好坑早被人占了，剩下的都是临时补位。
⌨️ 面试官不看你会不会背，看你会不会做
应届生挂得最多的一关是面试。典型的场面是这样：知识点背得挺溜，靶场一打开就卡住，连最基础的 SQL 注入都跑不出结果。甲方安全岗也好，乙方渗透测试岗也好，面试基本都在看你动手——给你一个环境，让你把漏洞复现出来；丢一段代码，看你的审计思路；问你某个漏洞怎么利用、怎么绕。光会背，面试官跟你聊不了几句就没话了。
练的办法不复杂：持续刷靶场、打 CTF、把几个基础漏洞练到不用过脑子。
🎯 靶场先用 DVWA、Vulnhub、WebGoat，免费又够练
🏁 打比赛刷题就上 XCTF、Hack The Box 和 CTFtime
别一上来就满世界找资源包，先把这几个吃透再说。
🧱 基础别铺得太开，挑有用的学
计网、操作系统、数据库是绕不过去的老三样，但没必要把课本从头啃到尾——书里很多内容工作里一次都用不上。按用得到的程度排个序，大概是：
🌐 网络：TCP/IP、DNS、HTTPS 得吃透，重点落在协议本身的缺陷上，劫持、中间人这一类是常考点
🖥️ 系统：Windows 和 Linux 的权限管理要熟，提权思路、常见系统漏洞的利用方式得能讲明白
🗄️ 数据库：各种注入、权限绕过、拖库的原理是基本功
⚙️ 底层：二进制漏洞、缓冲区溢出、ROP 的基础概念了解一下，应付中高阶面试够用了
🏆 能拿得出手的实战记录，比证书管用得多
说句可能有人不爱听的：四六级、计算机二级这类证书，在网安面试里几乎没有加分，企业看的不是这个。真正能聊起来的是你做过什么：
🏁 打过护网杯、DEFCON 这类正规 CTF，最好留下参赛或获奖记录
🐞 在 TSRC 这类厂商漏洞平台提交过漏洞，拿得出公开的漏洞编号
⚔️ 参与过红蓝对抗、校内攻防演练，讲得清自己具体负责哪一块
大一零基础也不晚。从 CTF 入门，坚持练上两年，自然会攒出可以讲的东西。真到面试那天，一边是空有学历的人，一边是有实战记录的人，选谁不用我说。
🌍 英语和 GitHub，是你的隐形天花板
这两件事很多人不爱听，但它们确实卡人。
漏洞情报、EXP 工具、顶级安全会议的技术文档，第一时间基本都是英文的。中文内容总要慢一截，有时候还译错。工具的官方文档、CVE 的原始描述、前沿的攻防研究，全在英文语境里。看不懂，你就只能吃别人嚼过的二手货，而且往往已经过时。
GitHub 也一样。最新的 POC、EXP、工具源码、厂商的漏洞分析，首发基本都在上面。国内不少教程是搬来的，还搬不全。日常用 Gitee 当然没问题，但真想在技术上往下走一步，就得习惯泡在 GitHub 上看源码、追项目、翻 issue。
🎯 说到底
这个行业从来不缺应届生，缺的是能动手、有实战成果的人。大学几年躺过去，毕业时就是被筛掉的那一批。早点想清楚自己要走哪条路，把功夫下在手上，你才可能挤进那少数几个拿到好 offer 的人里。
