流程总览
笔试（安全知识+编程）→ 一面（方向基础）→ 二面（实战与项目）→ HR 面。安全岗位招聘量小于开发岗，面试更看重方向匹配。
一面高频题（以 Web 安全为例）
- SQL 注入的类型（联合/报错/盲注）与防御？预编译为什么有效？
- XSS 三种类型的区别？CSP 能防住什么防不住什么？
- CSRF 与 SSRF 的区别？SSRF 常见利用与修复？
- 同源策略是什么？CORS 配置错误会造成什么？
- HTTPS 中间人攻击的前提条件？证书校验校验了什么？
- Linux 提权的常见路径？SUID 是什么？
二面高频题
- 给一个登录接口，说出你能想到的所有攻击面与对应防御。
- 讲一次完整的漏洞复现/挖掘经历：环境、思路、卡点、结果。
- 应急响应：服务器疑似被入侵，你的处置顺序是什么？
- 安全与业务的权衡：推动修复被业务方拒绝怎么办？
准备清单
- 至少一个可展示的动手产出：CTF 题解、SRC 报告、复现文章或自写扫描小工具。
- 搭一个靶场（DVWA/VulnHub）把 OWASP Top10 全部亲手打一遍。
- 编程不能丢：安全岗普遍要求 Python 脚本能力，部分研究岗考 C 与汇编基础。