企业官网建设流程全解析

本篇文章共 10000字，完全阅读全篇约10分钟 州弟学安全，只学有用的知识

前言

大家好，我是州弟。

大家还记得我上一篇文章吗？网安面试|记2026年8月国内某情报安全厂商面试的一次经历
，当时分享了我主动投递并完整体验国内某安全情报厂商面试流程的经历。文章发布之后反响不小，很多师傅私下找我交流，有问面试题的，有聊就业形势的，也有不少刚毕业正在找工作的朋友，说看完心里五味杂陈。

恰好在前段时间刚结束的网络安全宣传周，我也在现场做支撑。现场大概分为三个区域，企业展区、招聘专区和互动专区。我们在招聘专区也有对应展位，一天左右的时间，线下收到简历约70份，线上投递的数量更多。此处分享一张当时的实拍。

再结合我在活动结束后发的一条朋友圈作为引子。在活动现场也有几位前辈向我抛出了橄榄枝，在此一并感谢，同时有70份简历背后折射出来的东西。

所以本篇文章，主要探讨和深度思考当下的就业形势。基于现场收到的简历分类、学生在简历中体现出的共性问题、针对学历的思考、给职场小白的一些建议、35岁职场危机的真实观察以及我个人的后续规划，按照找工作、步入工作、面临裁员可能这条线依次展开分析分享。

本篇文章带有个人主观想法，千人千面，仅作为特定情况下参考

本文章所产生内容、言论与本人所在企业无关，仅为个人账号发布

公司分析

一、先看企业端，现场27家公司到底在招什么人

既然聊就业，那就不得不先看看企业这一端。9月16日的招聘专区的企业我都走了一遍，每家招聘需求的展板我都拍了照，一共27家公司（仅9月16日当天企业）。完整照片就不全部贴出来了，挑几张有代表性的，我们边看边分析。

27家公司看完，先给几个直观的数据结论。

第一，纯安全公司占比不到两成。27家里，安全主业的公司大约5家，包括头部的安恒、中孚，本地的等保测评公司，一家做网络安全教育资源开发的公司，以及一家招安全软件技术顾问的企业。剩下的绝大多数是半导体、机器人、自动化、工业互联网、AI应用、教育培训、金融证券这些行业的企业。网络安全宣传周的招聘专区尚且如此，说明安全岗位在整个就业市场里本身就是窄门，指望海投碰运气的思路，在这个行业天然就行不通。

第二，报价偏高的是芯片和AI，安全岗位处于中游。把薪资拉通来看。

• 第一梯队是芯片半导体类企业，软件工程师普遍12000至17000且14薪，芯片设计类岗位最高报到35000。

• 第二梯队是AI相关岗位，算法工程师12000至18000，AI产品经理、AI售前在8000至16000，中孚的AI产品研发和Agent开发开到了15000至35000，这也是全场安全相关企业里出价最高的，但它招的其实是AI加安全的复合方向。

• 安全岗位的中间水平，等保测评、安全运维在6000至12000，安恒济南的技术交付3500至9000且实习正式都收。

• 薪资相对较低的一档是数据标注和AI训练师岗位，2200至3300加绩效。

• 地区上，27家里几乎全部落在济南，个别岗位在上海张江、北京、南京，还有一家券商标注山东省内16地市均可。同一个岗位序列，济南的价格和一线城市差距明显，这是地域现实。

第三，AI已经渗透进招聘需求的字面。AI产品经理、AI智能体售前、Agent开发工程师、AI产品测试、AI训练师、人工智能讲师、强化学习方向的算法工程师，这些岗位名称五年前在济南的招聘会上几乎看不到，现在密集出现在至少7家企业的展板上。无论这是不是泡沫，企业端的用人需求方向已经很明确了。

第四，聊聊标注"面议"的企业。现场有4家企业的薪资栏写的是面议，分别是一家老牌电子制造企业、一家工业互联网平台、一家机器人企业和中信证券。面议在实际中通常是三种情况。

• 其一是像中信这类企业，有成熟的职级薪酬体系，按学历、院校、资格证书定档，价格写在内部制度里而不是展板上，这种面议反而值得投。

• 其二是岗位弹性大，要看候选人的真实水平再定薪，比如机器人企业的算法岗，候选人是发论文的还是调参的，价格天差地别。

• 其三是薪资没有竞争力，写出来怕没人来，不如现场聊了再说。前两种很正常，第三种就要多留个心眼了。所以看到面议不要直接划走，先判断它属于哪一种。

综合来看哪些值得去。如果是安全方向的应届生，头部厂商的入门岗位薪资确实不高，但体系完整、项目密集，前两年的成长速度是小公司给不了的。如果愿意走AI加安全的复合路线，目前企业端的报价已经给出了明确的信号。如果追求短期收入，芯片和AI应用类企业的报价更高，但要想清楚自己的技术栈是否匹配。至于数据标注这类岗位，作为过渡可以，作为方向要慎重。

二、如何识别一家招聘企业，以及薪资里的坑

上面提到有些企业标注面议，有些企业报价高得反常，那就不得不提怎么判断一家公司靠不靠谱。了解了大部分公司的招聘条件和标注薪资后，我们还需要看薪资是否达到预期，以及这个价格背后有没有坑，主要看以下几个点。

1. 以济南为例，网络安全实习生薪资普遍以3000至4000左右为主，有企业甚至更低或无薪资，当然也有部分企业会更高一些。有业内人士分享过，比如360的实习薪资会更高，差旅补助和住宿标准也更好，但具体数字取决于项目经理或区域经理对本人评估后所给，评估的无非是情商、解决问题的能力、表达能力这些。这里也补充一句个人的体会，职场和学校的节奏不太一样，更多时候需要靠自己主动摸索。

2. 看企业规模。用企查查这类工具查一下，如果某企业创立时间只有1年左右，参保人数低于20人，无融资经历，注册资本100万且实缴很低，业务方向描述模糊，但薪资开得高到离谱，就要注意了。假设济南平均薪资5000元，网络安全岗位平均6000元，这家企业能开到10000元以上，就不太符合常识。询问HR时可以侧重问业务目标方向、招聘岗位的具体职责、薪资构成等问题，看HR能否表达清晰。因为真正高薪的重要岗位，稳定成熟的企业会有清晰的业务框架和招聘逻辑。

举个真实例子。下面这家AI公司，成立时间是2026年5月底，注册资本100万，再看它在BOSS直聘上挂的职位，AI大模型应用工程师，13至18K，学历不限。

眼尖的师傅应该已经发现了，这份岗位描述是用AI生成的，而且生成完连markdown格式符号都没有去掉就直接发布了。一份对外招聘文案尚且如此，这家公司的业务扎实程度可想而知。倒不是说它百分百是骗子公司，但一个新注册、人员少、薪资高、文案全靠AI一键生成的企业，慎重考虑总没错。

3. 还有一种情况要单独说。网络安全行业目前被大家戏称为服务行业，有一种企业专门做驻场业务，薪资可能低一些，但注册时间长、业务靠关系渠道稳定续单。这种驻场岗位稳定，但上升空间有限，看自己的选择。比如学历偏低、技术能力暂时偏弱的朋友，先找一份驻场工作进入行业，骑驴找马，边做边看机会，远比在家里空耗要强。

三、怎么拿到预期薪资

很多应届生都不知道该怎么谈薪。面试官问你期望薪资多少的时候，怕自己说高了对方觉得你眼高手低，说低了又怕委屈自己，干着同样的活却比别人少拿钱，最后大概率会心虚地说一句按照公司的规定来，或者报出一个连自己都会后悔的数字。

谈薪是你价值的声明。你报出去的数字，是你对自己价值的判断，也是在帮公司验证你值不值得更多，所以不要低估自己。只要记住接下来这3点，就基本不会在谈薪的时候被坑。

第一，注意时机。这是绝大多数应届生容易犯的错误，过早暴露底线会很被动。薪资谈判不是越早越好，虽然大家出来工作都是为了挣钱，但在HR明确对你表现出好感之前，尽量不要主动抛出期望薪资。你可以问这个岗位能给多少钱，但先别急着说你期望多少钱。这个数字一旦从你嘴里说出来，往往就只有被往下压的份。

和HR聊到薪资的场景通常只有3个，面试邀约阶段、面试结束后、面试通过准备发offer的时候。

面试邀约阶段被问到期望薪资，只需要回应这个岗位的薪资范围我可以接受，其他的话不必多说。面试结束后HR试探性问你薪资的时候，可以适当在期望薪资的基础上抬高1至2K，留出谈判空间，同时表现出对这份工作有很强的意愿。最后正式谈offer的时候，才是最终谈判薪资的节点，可以收网了，这时候才可以暴露自己真实的期望薪资。

第二，注意薪资构成。很多应届生只关注总包，压根不知道薪资结构和兑现难度。你要主动问，底薪和绩效占比多少，绩效考核的依据是什么，有没有年终奖和项目奖，试用期是否打折，有没有餐补、交通补贴、通讯补贴，五险一金的缴纳基数是多少。这些都决定了你实际拿到手的钱。如果不问清楚，谈的时候8K的总包，实际到账可能只有4K。

你也可以从不直接争取工资入手，比如争取缩短试用期、试用期薪资不打折、增加补贴，或者明确转正加薪的制度。在我看来，薪资谈判的目的不是死磕一个数字，而是争取你在入职期间的心理安全和物质保障。

第三，对抗HR的压价。如果岗位给出了预算，比如10至15K这个范围，那你肯定希望自己的薪资是15K，直接瞄准预算上限去说。如果HR不说预算，你就说你的期望薪资，但要给HR留余地，比如奖金或者其他福利我们可以再谈。如果HR试图压价，不要立刻妥协，可以问这个数字是基于什么考虑的，还有没有向上弹性的空间。可以重点强调自己的核心价值，如果对方认可，那就欣然接受并且确认。

四、70份简历里，应届生暴露的共性问题

薪资谈得再漂亮，前提是简历能通过筛选。了解完企业端的事宜，我们再从自我视角，分析一下当下个人简历、个人能力以及未来规划的事宜。

简历属于个人隐私，此处不公开任何一份简历的具体信息，只以整体数据作为支撑。线下收到的70份左右简历中，近60份都是应届生，只有一小部分属于已就业人员，有的是想寻找新机会，有的是因为裁员被迫重新找工作，其中有一位让我印象非常深刻，后面的章节会展开聊。

后续我们团队把现场登记的信息做了汇总，登记在册的41份简历里，硕士7人左右，大专5人左右，其余为本科。最终进入面试环节的约13人，进入二面的只有6人左右。也就是说，从投简历到二面，十个里面留下不到两个。漏斗的另一头是什么在起作用，往下看。

共性问题一：套模板问题

通过简历筛选，发现很严重的套模板问题。严重到什么程度呢，有简历上模板占位符原样未填，【寒假实习时间】【实习单位】【岗位】这种花括号提示文字，原封不动地保留在简历里就打印了出来。这说明什么，说明这份简历作者自己都没有完整读过一遍。招聘方看到这种简历，第一反应不是你能力行不行，而是你做事的态度行不行。

共性问题二：技能清单高度雷同

Nmap、Nessus、Wireshark、Burp Suite，熟悉DVWA靶场、pikachu靶场，这几乎是这批简历的标准配置，像是从同一个模板里复制出来的。我们在现场做了一些简单的场景化提问，结果大面积卡壳。写熟悉Burp的，结果连Burp的页面都看不懂。写懂SQL注入的，结果sqlmap的页面也看不懂。

汇总表里有一位候选人的备注，让我们印象很深。在技能栏写熟练掌握Python，深入聊下来，他理解的Python开发就是写一万个if else，且在我们提问时，他当着我们的面打开AI现查。不是说不能用AI，我自己工作中也重度使用AI，但面试现场连基本概念都要现查，说明这些知识还停留在收藏夹里，没有真正消化。

登记表里出现频率最高的一条备注，是无实战攻防或应急经验，大约20人的备注栏写着这句话。证书和奖项栏大面积空白，偶尔出现的亮点立刻就能把人从纸堆里捞出来，比如有一位挖到过CVE，有一位有SRC提交记录和攻防演练经历，还有一位持PTE证书。这几位的简历，我们几乎没有任何犹豫就归到了面试等候区。

共性问题三：信息闭塞，和社会需求脱节

教育资源与社会所需能力不挂钩，是这批简历暴露出的最深层问题。现在行业里已经在用AI辅助工作、缩短项目周期了，很多人的简历上还写着擅长CTF的Web方向、Misc方向，传统的刷题路线走到底，AI方面一问三不知。70份简历里，只有一份让我们比较中意，这是一位嵌入式方向的同学，简历上单独开了一个板块叫AI辅助开发与工程实践，写了自己用Claude Code、Codex搭建Agent工作流的实践，还附了仓库链接。不管水平深浅，这个意识已经跑赢了同场的绝大多数人。

其实这种脱节，学生群体自己也有感知。前段时间刷到一位名校在读同学聊"大学真相"的视频，措辞比较犀利，但去掉情绪之后，有几个观察和我在宣传周现场看到的情况基本吻合。

• 一是课堂里教的内容，和企业岗位上真正在用的技能，差距在越拉越大。

• 二是绩点、评优这些东西，在找工作时的权重比很多人想象的要低，企业更关心的是你能不能直接上手干活。

• 三是企业越来越不愿意花时间从零培养新人，话听起来现实，但确实是大多数企业的真实心态。所以他的建议是，在校期间就要有意识地去了解企业是怎么工作的，这一点和我在现场的感受完全一致。

此处并没有否定大学教育的意思，对大多数普通人来说，大学依然是最公平的一条上升通道。只是想提醒在校的师傅们，课程要好好上，但眼界不能只停在课堂里。

上面提到信息闭塞，那就不得不提一个我一直感慨的事情，跟对一个老师非常重要。好的引路人能帮你把这个行业真实在用什么、学什么提前两三年告诉你。大家有兴趣可以阅读我之前的一篇文章：学习干货|从迷茫到前行：我的网络安全学习之路

五、学历是否还重要

聊完简历，就绕不开一个一直以来具有争议的话题：学历。

其实每个人都会站在自己的处境里看问题。就像一个专升本成功的同学和一个工作2年的同学交流这个话题，专升本的人觉得工作的同学多了2年工作经验，工作的人觉得专升本的同学有学历，后面好晋升。此处只是举例，不同行业、不同企业看待学历的方式确实不同。

学历是否真的重要？通过这次的简历来看，可以确认，仍然重要。

首先，通过所有简历的对比，大部分本科生在校期间有接触竞赛、SRC漏洞挖掘、利用AI做项目、参与企业项目的经历，甚至有一部分在现场进行场景化面试时能够回答出答案。其次，有大部分专科生和一小部分本科生，简历上仍然会写熟悉DVWA靶场、pikachu靶场、熟练使用Burp Suite和Wireshark，但在询问场景题的时候一片空白。这证明当下的教育环境存在信息闭塞，与社会需求不同步。

还有一点必须客观承认，学历确实在一定程度上代表学习能力。在现场沟通时发现，几所省内认可度比较高的高校，比如山东科技大学、青岛科技大学、青岛大学，大部分学生在表达能力、逻辑思维能力上确实非常强。当然，此处不作为学历歧视的论据，也并不说明专科的人不优秀。我自己就是山东省一所专科院校毕业的，目前是非全日制本科在读，我没有歧视任何人的资格，只是在陈述这次观察到的事实，也还是建议有机会的话多提升学历。

以上判断仅为本次面试、简历筛选、现场沟通的总结，无学历歧视之意，属主观性评价。本科和研究生里有能力强的，也有混日子的，专科里也有大牛，只是基于这次事件做一个简单的总结。

有行业内前辈曾分析过一句话，我觉得很到位：学历是能力的一部分，学历是敲门砖，进来以后学历就不那么重要了，但体现能力恰恰是后话，前提是你得先有那块敲门砖。

学历短时间内改变不了，能马上改变的是简历的呈现方式，这也是下一节要聊的。

六、简历怎么改，拿我自己的简历开刀

分析了大部分人的状态之后，应该给出相应的优化方法。接下来从我个人主观角度给一些建议，从简历优化、当下怎么做、未来规划三个点出发，仅供参考。

简历一定是要优化的，不要再直接套模板。熟练使用Burp Suite、Wireshark，熟悉某某设备，结果一问三不知，这种写法是在给自己挖坑。在校学生大部分人必然没有工作经验，就往简历上写大学学了什么课程、是不是学生会、绩点多少。这些内容在名校校招时可能有用，但对大部分普通人来讲，海投简历时并非加分项，反而会让HR认为这个人只能适应学校里的学习氛围，无法解决企业面临的实际问题。

而普通人因为信息闭塞，这又牵扯出一个更深层的宏观问题。当初选专业是因为热爱，还是单纯为了上大学？如果一开始就对未来没有规划，那到写简历的时候，除了课程和绩点，确实就没得写了。后面我会给在校生和应届生一些建议，在此之前，先贴一张我整理的个人简历，部分信息已简化，不算优秀，仅供大家参考结构。

拿我自己的简历自我剖析一下，先说我觉得做得还可以的地方。

• 一是能力板块罗列得比较清楚，应急响应、渗透测试、代码审计、安全运营这些方向各自成块，HR扫一眼就知道我是干什么的。

• 二是项目经历做了编号，一共40条，面试的时候双方沟通效率很高，面试官说第几条，我就能直接讲第几条。

• 三是技术影响力做了量化，账号粉丝数、运营增长的对比数据都写明了，数字比形容词有说服力。

再说说缺点，也得客观。

• 一是技能板块铺得太宽，十个方向全写上，容易给人留下不够精的第一印象，实际上应该有取舍，突出主线。

• 二是项目经历数量太多，40条列出来，对方抓不住重点，其实只留最能代表水平的5至8条，每条写清楚角色、动作和结果，效果可能更好。

• 三是我个人目前的证书数量还有欠缺，这也是事实，后续有增加证书考试的规划。

另外分享一个实用的简历产出技巧，也是我目前在用的方法。把曾经做过的项目、拿到的奖项、掌握的技能先汇总成一份文字材料，然后写好提示词，让AI帮你优化结构和表达，直接输出HTML格式的简历文件，排版简洁的那种。用浏览器打开确认效果，再通过浏览器的打印功能导出成PDF即可。后续如果需要新增信息或者针对不同岗位调整侧重点，直接改HTML源码重新导出，比每次都去套在线模板快得多。这个思路本质上是用AI快速解决重复性工作，简历只是其中一个场景，应急报告、培训课件、投标材料的初稿，都是同一个套路。

七、个人能力怎么定向提升

简历只是敲门砖，门敲开之后，坐下来拼的是真实能力。对在校学生，我建议坚持一个原则，听宣不听调。上课该签到签到，保证顺利毕业的同时，业余时间多关注行业内的真实动向。

比如关注一些高质量账号，侧重看那些分享行业动态、实战知识的，注意避坑培训类账号。总有粉丝师傅问我有没有培训机构推荐，此处我不做推荐。AI时代知识内容更新迭代非常快，优质培训不好找，与其把希望寄托在别人身上，不如培养自学能力。

多参加一些线上比赛，比如Solar应急响应月赛，这是我现在所在公司每个月举办的公益性比赛，年底还有奖品拿，有时候我也会参与出题，题目全部来源于真实项目脱敏后的实战场景。往期的部分题目复盘可以参考：
【应急响应】某医院HIS系统被植入挖矿木马（附开源排查环境）

学习干货|首发黑灰产靶场之恶意浏览器插件窃密与远控溯源复盘）

应急响应|全网首发！变种勒索病毒仿真靶场：从排查到解密(附开源训练环境)）

应急响应|某项目特洛伊挖矿木马靶场复现(附开源环境)）

应急响应|2025年勒索病毒排查溯源指南(附开源训练环境)）

另外，多参加一些行业群聊，了解行业动态。在我曾经与业内师傅柯林斯交流时，他提到过一句话，我深以为然，他从不看课，只看群里师傅们平常聊的重点，因为那些太值钱了。

这句话背后的逻辑是，课程里的知识是整理好的、滞后的、面向所有人的，而行业群里一线师傅聊的是正在发生的、具体的、带场景的。后者才是真正的活知识。有时候在群里混个脸熟，慢慢的可能就有内推的机会了。机会有时候不是投简历投出来的，毕竟，谁会为一个不熟悉、不了解的人做内推背书呢？

对于应届生来说，此处不谈顶流学校，也不谈有资历的师傅。对我们大部分普通人来说，一来能力浅薄，二来学校不算出众，那就像前面说的一样，先把预期放稳。我身边有不少这样的例子，先找一份工作进入行业，再谈稳步上升。正如前面所说，先有敲门砖，再谈后续。参考我之前的经历，和大部分普通人没什么两样
学习干货|从迷茫到前行：我的网络安全学习之路

八、未来规划，被动比主动更强

对普通人来讲，我还是建议做一个自己的账号，尽量把自己的能力体现出来。设想一个场景，当你是一个平凡的普通人时，简历写得天花乱坠，只能靠招聘平台海投，对面的HR很难判断你的能力有没有被包装过。HR每天收到几十上百份简历，不可能一份份细看、一个个约面试，他只能通过学历、工作年限先筛掉一部分人，你大概率就是那个被过滤掉的。

为什么我建议做账号？因为简历可以包装，面试题可以提前背，这些都可能影响面试时的判断，HR未必能分辨出真实水平。但你在互联网上留下的文章是可以追溯的，发布时间、内容质量、一路走来的成长轨迹都摆在那里，这些是铁打的事实，装不出来，也删不掉，最能看出一个人的真实水平。这一点我在之前的生日文章里也聊过：生日快乐|一年为期，步履不停，写在23岁，关于成长的一些真话

说这些的意义，是希望大家把自己的闪光点展示出去，让更多人认识你。被动吸引比主动推销的效果强得多。从一个普通人到业内口中的某某大佬，可能就差一步。至于怎么去做、怎么去写，我的经验也有限，更多也是靠自己一点点研究摸索。如果你仍然不知道从哪里开始，建议从2023年我做账号的第一篇文章开始读，看看我是怎么写的，风格是怎么一步步优化的。如果能从中学到东西，并且执行力够强地做起来，一定会有效果。说到底，做账号也好，打磨技术也好，本质上都是在做差异化，别人没有的，你有，别人有的，你做得强一些，这就是属于你的护城河。

九、步入职场的小白，三种状态要警惕

找到工作只是开始。接着给刚步入职场的小白一些避坑指南，从学生蜕变成真正的职场人，这些坑大部分人都踩过，我也是这么过来的。

什么样的人在职场中一定混不下去，或者一定混得很差？结合我从实习到工作，再到现在观察上百人的经历，总结下来有三类人。

第一类，把公司当学校的人。这种人见得特别多，一进公司满脑子想的都是公司能教我什么，领导有没有耐心带，有没有系统的培训，同事愿不愿意把经验分享给我。待了一个月发现没人手把手教，就开始觉得这家公司不行，学不到东西，这个领导不会培养新人。

公司和学校最大的区别，我觉得值得单独拿出来说。去学校是你给学校交钱，所以老师有义务教你；来公司是公司给你钱，他不主动教你很正常，你得先帮他解决问题。公司当然应该有基础的培训、岗位资料和工作交接，新人丢进去完全不管，那确实是公司的问题，但公司绝不可能像学校一样，先发你一本某岗位从入门到精通，老板再每天抽两小时给你上课。你的领导不是班主任，同事也不是你花钱请的家教。

职场和学校还有一个最大的不同，职场里大部分问题都没有标准答案。老板让你分析一下为什么最近告警量突增，他问这个问题的时候自己大概率是不知道答案的，他要知道答案，直接告诉你怎么改就完了。

所以真正聪明的新人是什么样的？不是领导说一句你再干一点，而是自己先尝试干着，先看之前做过的版本，先翻历史报告，先找会议纪要，再照着过去比较好的案例做一个初版。真的遇到实在不会的东西，再拿着问题去问，但问法完全不同。别上来就是一句这个我不会，你跟我说该怎么做。你完全可以说，我看了之前几个项目的报告，把最近三个月的数据整理了一遍，我觉得问题可能出在两个地方，先做了个初版，但有两个地方还不太确定，想请您帮我看看方向对不对。同样都是表达不会，给人的感觉天差地别。第一种是没做准备，把问题原封不动甩给老板；第二种是自己先做了一堆，实在没招了再来确认方向。这体现的不仅是能力问题，更是态度问题。

第二类，把辛苦当价值的人。这种人也特别典型，每天看起来全公司最努力，早上第一个来，晚上最后一个走，凌晨还在群里发消息，一份报告能改十几版，甚至周末还要在朋友圈发加班的照片。然后老板一问，你得出了什么结论，他只能说老板我这两天真的特别辛苦。但客观讲，辛苦和公司需要的价值并不能直接画等号。公司发工资不是买你加班的，是买你解决问题的。

举个安全行业的例子。领导让你分析一下这个月的安全运营告警数据，你花3天搞了一份上百页的报告，把每条告警的时间、源IP、规则名称全抄了一遍，表格配色调得跟艺术品一样。结果领导看完问一句，那我们下个月应该重点防什么？你说这个我还没想好。那这上百页报告跟废纸有什么区别？反过来，另一个人只做了5页，但他直接告诉领导，本月告警量上升不是因为攻击变多，主要是新上线的那批资产没加白名单，误报占了七成，真正的攻击集中在OA和VPN两个入口，建议先做收敛。领导看完下一秒就知道团队该干什么，这才是价值。

再比如做渗透测试，交上去50页报告全是扫描器跑出来的中低危，真正核心业务系统的逻辑漏洞一个没有。又或者做安全账号运营，每天发文章看似勤快，但回答不了粉丝增长靠的是哪类内容。所以在我看来，职场不是按工作量给钱的，也不是按加班时长给钱的。甚至你天天加班到凌晨，领导的第一反应大概率不是感动，而是这件事真的需要做这么久吗，是任务太多了，还是效率太低了，是不是没抓住工作重点。

辛苦本身不是能力，有时候反而暴露你不会拆解任务、不会用工具、不会评估优先级。当然我不是说加班就是错的，项目临时上线、应急节点确实赶，该投入就要投入。但加班只是成本，就像去餐厅吃饭，厨师在后厨累得满身大汗，最后端上来一盘夹生饭，你也不会因为他流了汗就觉得这顿饭好吃。

第三类，把平台当能力的人。这个在大公司里特别常见，越是好公司越容易出现。

你在头部厂商做安全服务，客户一看你们的品牌就愿意签约，方案还没讲预算就批了，干了两年你觉得自己是方案鬼才。你在知名SRC排行榜上挂着名，觉得是自己挖洞无敌，但没想过平台的漏洞奖励机制和流量倾斜占了多少成分。等有一天离开平台，自己从头开发客户、从0做一个项目，才发现过去的很多结果，并不完全属于你一个人。

一个好的平台本来就会给你品牌、预算、流量、流程和资源，这也是大家想进大厂的原因。但最可怕的，是你把平台借给你的东西，全部算成了自己的能力。所以我特别建议大家在大平台工作时经常问自己一句，如果明天把公司的品牌、预算、流量和现成的流程全部拿走，我还剩下什么？（当然，如果企业品牌的建设你有重大参与，或者本身就处在决策侧，那就另说了。）如果答案是什么都不剩，那你现在拥有的只是一个好工作平台，而不是一套强的工作能力。

当然，大平台的价值不可否认，你能见到小公司见不到的项目、人才、流程和资源。但你真正应该从平台带走的，不是客户名单，不是公司文件，更不是优越感，而是行业理解、解决问题的方法、公开能讲的项目经验、跨部门协作的能力，以及一套换一家公司照样能用的工作方法。毕竟，咱们在青楼打工是为了能尽早赎身，而不是为了当头牌。

十、如何汇报工作

上面聊的三类人都是心态层面的事，心态摆正之后，还得落到具体的动作上。接下来聊一个职场里最常用、也最能拉开差距的硬技能，汇报。

有效的沟通可以直接体现一个人的能力。尽量在简短的内容和时间里，把工作汇报、方案探讨讲清楚，是职场里性价比最高的基本功。

举个我近期的真实例子。我在跟进某勒索病毒溯源事项时，经过溯源，代码和日志层面确认漏洞无误，但漏洞验证环节确实存在一些问题。做阶段性汇报时，我没有只抛问题，而是把现状、结论和可选方案一起给了老板，让老板做选择题而不是问答题。这里也做个说明，当时正值国庆假期期间，客户方面与对应ERP厂商的对接存在一定延迟，我的互联网批量测试方法严格参照CNVD对互联网资产的口径执行，无任何违法违规行为。

这个例子里有几个要点。

一是先讲结果，老板最关心的是事情现在什么状态，而不是你过程有多曲折。

二是承认问题，验证环节有问题就直说，藏着掖着只会让小问题拖成大事故。

三是永远带着方案汇报，哪怕方案不成熟，也好过两手一摊。四是特殊时间节点要提前管理预期，假期、厂商响应慢这些客观因素，说在前面是同步信息，事后才说就是找借口。

上方的职场处事心得受益匪浅，汇报工作先讲结果再说过程，会议发言先亮观点再补充细节，布置任务只讲目标不限定做法，解决问题先分析原因再给方案，处理冲突先体谅情绪再讲道理，批评指正先摆事实再谈期待。不一定对所有人适用，但这两年实践下来，对我自己帮助很大，分享给大家参考。

十一、35岁危机，是真的

聊完了找工作和刚工作，最后聊聊那个所有人都绕不开的话题。这个我确实感同身受，也和开头提到的一致。在那批简历里，有一个比较扎眼的情况，一位刚过35岁的师傅，安全工作经验15年左右，最后一份工作在某大厂待了10年，在近期的裁员风波中受到波及。

通过简历看能力，这位师傅传统安全经验非常丰富，安全设备非常熟练，渗透测试、安全运营都有经验。如果硬要挑毛病，大概率是在AI方面的研究没有那么深入。这句话说出来很残忍，但这就是市场正在发生的事情，企业端在招AI方向的人，而有15年经验的传统安全从业者，被性价比三个字挡在了门外。

据业内人士提到，35岁是一个槛。如果上不了管理层，技术层面的学习能力又有退化，加上家庭负担，和年轻人相比很难来一场说走就走的差旅，身体素质也有所下降。比如前段时间我和一位同事线下应急，连熬3个通宵干完了一周的活，年轻的时候身体恢复得快，过了30岁再这么熬一次，一个礼拜都缓不过来。在现实生活和技术层面的双重挤压下，这个年龄段的从业者非常容易受到裁员风波的影响。

这也是为什么很多人挤破头都要进甲方，大家都渴望铁饭碗。

由于我年龄资历尚浅，无法给这个年龄段的前辈什么建议，但我还是希望，无论大家现在处于哪个阶段，都能够尽早建立自己的能力护城河，提前做好灾难对抗，降低危害，给自己留条后路。护城河可能是AI时代下别人替代不了的复合能力，可能是行业里积累的影响力，也可能是一份随时能启动的副业。

当到了一定年龄后，大家都开始信命了，或者说，开始学着认命。这里说的认命不是消极认输，而是慢慢分清哪些事是自己能改变的，哪些事不能。能改变的部分，全力以赴，不能改变的部分，坦然接受：尽人事，听天命。把能做的准备都做足，剩下的交给时间。

结语

找工作这一路的难，我懂，因为我自己就是这么过来的。从菏泽的中职单招，到济南的大专，到7×24小时的驻场，再到现在，每一步都算不上顺利，但每一步都算数。

如果您想进一步了解我，可以看看这两篇文章：
学习干货|从迷茫到前行：我的网络安全学习之路

生日快乐|一年为期，步履不停，写在23岁，关于成长的一些真话