就业指南｜分析了近百份简历后，我决定写一篇就业指南

本篇文章共 10000字完全阅读全篇约10分钟 州弟学安全只学有用的知识前言大家好我是州弟。大家还记得我上一篇文章吗网安面试|记2026年8月国内某情报安全厂商面试的一次经历当时分享了我主动投递并完整体验国内某安全情报厂商面试流程的经历。文章发布之后反响不小很多师傅私下找我交流有问面试题的有聊就业形势的也有不少刚毕业正在找工作的朋友说看完心里五味杂陈。恰好在前段时间刚结束的网络安全宣传周我也在现场做支撑。现场大概分为三个区域企业展区、招聘专区和互动专区。我们在招聘专区也有对应展位一天左右的时间线下收到简历约70份线上投递的数量更多。此处分享一张当时的实拍。再结合我在活动结束后发的一条朋友圈作为引子。在活动现场也有几位前辈向我抛出了橄榄枝在此一并感谢同时有70份简历背后折射出来的东西。所以本篇文章主要探讨和深度思考当下的就业形势。基于现场收到的简历分类、学生在简历中体现出的共性问题、针对学历的思考、给职场小白的一些建议、35岁职场危机的真实观察以及我个人的后续规划按照找工作、步入工作、面临裁员可能这条线依次展开分析分享。本篇文章带有个人主观想法千人千面仅作为特定情况下参考本文章所产生内容、言论与本人所在企业无关仅为个人账号发布公司分析一、先看企业端现场27家公司到底在招什么人既然聊就业那就不得不先看看企业这一端。9月16日的招聘专区的企业我都走了一遍每家招聘需求的展板我都拍了照一共27家公司仅9月16日当天企业。完整照片就不全部贴出来了挑几张有代表性的我们边看边分析。27家公司看完先给几个直观的数据结论。第一纯安全公司占比不到两成。27家里安全主业的公司大约5家包括头部的安恒、中孚本地的等保测评公司一家做网络安全教育资源开发的公司以及一家招安全软件技术顾问的企业。剩下的绝大多数是半导体、机器人、自动化、工业互联网、AI应用、教育培训、金融证券这些行业的企业。网络安全宣传周的招聘专区尚且如此说明安全岗位在整个就业市场里本身就是窄门指望海投碰运气的思路在这个行业天然就行不通。第二报价偏高的是芯片和AI安全岗位处于中游。把薪资拉通来看。第一梯队是芯片半导体类企业软件工程师普遍12000至17000且14薪芯片设计类岗位最高报到35000。第二梯队是AI相关岗位算法工程师12000至18000AI产品经理、AI售前在8000至16000中孚的AI产品研发和Agent开发开到了15000至35000这也是全场安全相关企业里出价最高的但它招的其实是AI加安全的复合方向。安全岗位的中间水平等保测评、安全运维在6000至12000安恒济南的技术交付3500至9000且实习正式都收。薪资相对较低的一档是数据标注和AI训练师岗位2200至3300加绩效。地区上27家里几乎全部落在济南个别岗位在上海张江、北京、南京还有一家券商标注山东省内16地市均可。同一个岗位序列济南的价格和一线城市差距明显这是地域现实。第三AI已经渗透进招聘需求的字面。AI产品经理、AI智能体售前、Agent开发工程师、AI产品测试、AI训练师、人工智能讲师、强化学习方向的算法工程师这些岗位名称五年前在济南的招聘会上几乎看不到现在密集出现在至少7家企业的展板上。无论这是不是泡沫企业端的用人需求方向已经很明确了。第四聊聊标注面议的企业。现场有4家企业的薪资栏写的是面议分别是一家老牌电子制造企业、一家工业互联网平台、一家机器人企业和中信证券。面议在实际中通常是三种情况。其一是像中信这类企业有成熟的职级薪酬体系按学历、院校、资格证书定档价格写在内部制度里而不是展板上这种面议反而值得投。其二是岗位弹性大要看候选人的真实水平再定薪比如机器人企业的算法岗候选人是发论文的还是调参的价格天差地别。其三是薪资没有竞争力写出来怕没人来不如现场聊了再说。前两种很正常第三种就要多留个心眼了。所以看到面议不要直接划走先判断它属于哪一种。综合来看哪些值得去。如果是安全方向的应届生头部厂商的入门岗位薪资确实不高但体系完整、项目密集前两年的成长速度是小公司给不了的。如果愿意走AI加安全的复合路线目前企业端的报价已经给出了明确的信号。如果追求短期收入芯片和AI应用类企业的报价更高但要想清楚自己的技术栈是否匹配。至于数据标注这类岗位作为过渡可以作为方向要慎重。二、如何识别一家招聘企业以及薪资里的坑上面提到有些企业标注面议有些企业报价高得反常那就不得不提怎么判断一家公司靠不靠谱。了解了大部分公司的招聘条件和标注薪资后我们还需要看薪资是否达到预期以及这个价格背后有没有坑主要看以下几个点。以济南为例网络安全实习生薪资普遍以3000至4000左右为主有企业甚至更低或无薪资当然也有部分企业会更高一些。有业内人士分享过比如360的实习薪资会更高差旅补助和住宿标准也更好但具体数字取决于项目经理或区域经理对本人评估后所给评估的无非是情商、解决问题的能力、表达能力这些。这里也补充一句个人的体会职场和学校的节奏不太一样更多时候需要靠自己主动摸索。看企业规模。用企查查这类工具查一下如果某企业创立时间只有1年左右参保人数低于20人无融资经历注册资本100万且实缴很低业务方向描述模糊但薪资开得高到离谱就要注意了。假设济南平均薪资5000元网络安全岗位平均6000元这家企业能开到10000元以上就不太符合常识。询问HR时可以侧重问业务目标方向、招聘岗位的具体职责、薪资构成等问题看HR能否表达清晰。因为真正高薪的重要岗位稳定成熟的企业会有清晰的业务框架和招聘逻辑。举个真实例子。下面这家AI公司成立时间是2026年5月底注册资本100万再看它在BOSS直聘上挂的职位AI大模型应用工程师13至18K学历不限。眼尖的师傅应该已经发现了这份岗位描述是用AI生成的而且生成完连markdown格式符号都没有去掉就直接发布了。一份对外招聘文案尚且如此这家公司的业务扎实程度可想而知。倒不是说它百分百是骗子公司但一个新注册、人员少、薪资高、文案全靠AI一键生成的企业慎重考虑总没错。还有一种情况要单独说。网络安全行业目前被大家戏称为服务行业有一种企业专门做驻场业务薪资可能低一些但注册时间长、业务靠关系渠道稳定续单。这种驻场岗位稳定但上升空间有限看自己的选择。比如学历偏低、技术能力暂时偏弱的朋友先找一份驻场工作进入行业骑驴找马边做边看机会远比在家里空耗要强。三、怎么拿到预期薪资很多应届生都不知道该怎么谈薪。面试官问你期望薪资多少的时候怕自己说高了对方觉得你眼高手低说低了又怕委屈自己干着同样的活却比别人少拿钱最后大概率会心虚地说一句按照公司的规定来或者报出一个连自己都会后悔的数字。谈薪是你价值的声明。你报出去的数字是你对自己价值的判断也是在帮公司验证你值不值得更多所以不要低估自己。只要记住接下来这3点就基本不会在谈薪的时候被坑。第一注意时机。这是绝大多数应届生容易犯的错误过早暴露底线会很被动。薪资谈判不是越早越好虽然大家出来工作都是为了挣钱但在HR明确对你表现出好感之前尽量不要主动抛出期望薪资。你可以问这个岗位能给多少钱但先别急着说你期望多少钱。这个数字一旦从你嘴里说出来往往就只有被往下压的份。和HR聊到薪资的场景通常只有3个面试邀约阶段、面试结束后、面试通过准备发offer的时候。面试邀约阶段被问到期望薪资只需要回应这个岗位的薪资范围我可以接受其他的话不必多说。面试结束后HR试探性问你薪资的时候可以适当在期望薪资的基础上抬高1至2K留出谈判空间同时表现出对这份工作有很强的意愿。最后正式谈offer的时候才是最终谈判薪资的节点可以收网了这时候才可以暴露自己真实的期望薪资。第二注意薪资构成。很多应届生只关注总包压根不知道薪资结构和兑现难度。你要主动问底薪和绩效占比多少绩效考核的依据是什么有没有年终奖和项目奖试用期是否打折有没有餐补、交通补贴、通讯补贴五险一金的缴纳基数是多少。这些都决定了你实际拿到手的钱。如果不问清楚谈的时候8K的总包实际到账可能只有4K。你也可以从不直接争取工资入手比如争取缩短试用期、试用期薪资不打折、增加补贴或者明确转正加薪的制度。在我看来薪资谈判的目的不是死磕一个数字而是争取你在入职期间的心理安全和物质保障。第三对抗HR的压价。如果岗位给出了预算比如10至15K这个范围那你肯定希望自己的薪资是15K直接瞄准预算上限去说。如果HR不说预算你就说你的期望薪资但要给HR留余地比如奖金或者其他福利我们可以再谈。如果HR试图压价不要立刻妥协可以问这个数字是基于什么考虑的还有没有向上弹性的空间。可以重点强调自己的核心价值如果对方认可那就欣然接受并且确认。四、70份简历里应届生暴露的共性问题薪资谈得再漂亮前提是简历能通过筛选。了解完企业端的事宜我们再从自我视角分析一下当下个人简历、个人能力以及未来规划的事宜。简历属于个人隐私此处不公开任何一份简历的具体信息只以整体数据作为支撑。线下收到的70份左右简历中近60份都是应届生只有一小部分属于已就业人员有的是想寻找新机会有的是因为裁员被迫重新找工作其中有一位让我印象非常深刻后面的章节会展开聊。后续我们团队把现场登记的信息做了汇总登记在册的41份简历里硕士7人左右大专5人左右其余为本科。最终进入面试环节的约13人进入二面的只有6人左右。也就是说从投简历到二面十个里面留下不到两个。漏斗的另一头是什么在起作用往下看。共性问题一套模板问题通过简历筛选发现很严重的套模板问题。严重到什么程度呢有简历上模板占位符原样未填【寒假实习时间】【实习单位】【岗位】这种花括号提示文字原封不动地保留在简历里就打印了出来。这说明什么说明这份简历作者自己都没有完整读过一遍。招聘方看到这种简历第一反应不是你能力行不行而是你做事的态度行不行。共性问题二技能清单高度雷同Nmap、Nessus、Wireshark、Burp Suite熟悉DVWA靶场、pikachu靶场这几乎是这批简历的标准配置像是从同一个模板里复制出来的。我们在现场做了一些简单的场景化提问结果大面积卡壳。写熟悉Burp的结果连Burp的页面都看不懂。写懂SQL注入的结果sqlmap的页面也看不懂。汇总表里有一位候选人的备注让我们印象很深。在技能栏写熟练掌握Python深入聊下来他理解的Python开发就是写一万个if else且在我们提问时他当着我们的面打开AI现查。不是说不能用AI我自己工作中也重度使用AI但面试现场连基本概念都要现查说明这些知识还停留在收藏夹里没有真正消化。登记表里出现频率最高的一条备注是无实战攻防或应急经验大约20人的备注栏写着这句话。证书和奖项栏大面积空白偶尔出现的亮点立刻就能把人从纸堆里捞出来比如有一位挖到过CVE有一位有SRC提交记录和攻防演练经历还有一位持PTE证书。这几位的简历我们几乎没有任何犹豫就归到了面试等候区。共性问题三信息闭塞和社会需求脱节教育资源与社会所需能力不挂钩是这批简历暴露出的最深层问题。现在行业里已经在用AI辅助工作、缩短项目周期了很多人的简历上还写着擅长CTF的Web方向、Misc方向传统的刷题路线走到底AI方面一问三不知。70份简历里只有一份让我们比较中意这是一位嵌入式方向的同学简历上单独开了一个板块叫AI辅助开发与工程实践写了自己用Claude Code、Codex搭建Agent工作流的实践还附了仓库链接。不管水平深浅这个意识已经跑赢了同场的绝大多数人。其实这种脱节学生群体自己也有感知。前段时间刷到一位名校在读同学聊大学真相的视频措辞比较犀利但去掉情绪之后有几个观察和我在宣传周现场看到的情况基本吻合。一是课堂里教的内容和企业岗位上真正在用的技能差距在越拉越大。二是绩点、评优这些东西在找工作时的权重比很多人想象的要低企业更关心的是你能不能直接上手干活。三是企业越来越不愿意花时间从零培养新人话听起来现实但确实是大多数企业的真实心态。所以他的建议是在校期间就要有意识地去了解企业是怎么工作的这一点和我在现场的感受完全一致。此处并没有否定大学教育的意思对大多数普通人来说大学依然是最公平的一条上升通道。只是想提醒在校的师傅们课程要好好上但眼界不能只停在课堂里。上面提到信息闭塞那就不得不提一个我一直感慨的事情跟对一个老师非常重要。好的引路人能帮你把这个行业真实在用什么、学什么提前两三年告诉你。大家有兴趣可以阅读我之前的一篇文章学习干货|从迷茫到前行我的网络安全学习之路五、学历是否还重要聊完简历就绕不开一个一直以来具有争议的话题学历。其实每个人都会站在自己的处境里看问题。就像一个专升本成功的同学和一个工作2年的同学交流这个话题专升本的人觉得工作的同学多了2年工作经验工作的人觉得专升本的同学有学历后面好晋升。此处只是举例不同行业、不同企业看待学历的方式确实不同。学历是否真的重要通过这次的简历来看可以确认仍然重要。首先通过所有简历的对比大部分本科生在校期间有接触竞赛、SRC漏洞挖掘、利用AI做项目、参与企业项目的经历甚至有一部分在现场进行场景化面试时能够回答出答案。其次有大部分专科生和一小部分本科生简历上仍然会写熟悉DVWA靶场、pikachu靶场、熟练使用Burp Suite和Wireshark但在询问场景题的时候一片空白。这证明当下的教育环境存在信息闭塞与社会需求不同步。还有一点必须客观承认学历确实在一定程度上代表学习能力。在现场沟通时发现几所省内认可度比较高的高校比如山东科技大学、青岛科技大学、青岛大学大部分学生在表达能力、逻辑思维能力上确实非常强。当然此处不作为学历歧视的论据也并不说明专科的人不优秀。我自己就是山东省一所专科院校毕业的目前是非全日制本科在读我没有歧视任何人的资格只是在陈述这次观察到的事实也还是建议有机会的话多提升学历。以上判断仅为本次面试、简历筛选、现场沟通的总结无学历歧视之意属主观性评价。本科和研究生里有能力强的也有混日子的专科里也有大牛只是基于这次事件做一个简单的总结。有行业内前辈曾分析过一句话我觉得很到位学历是能力的一部分学历是敲门砖进来以后学历就不那么重要了但体现能力恰恰是后话前提是你得先有那块敲门砖。学历短时间内改变不了能马上改变的是简历的呈现方式这也是下一节要聊的。六、简历怎么改拿我自己的简历开刀分析了大部分人的状态之后应该给出相应的优化方法。接下来从我个人主观角度给一些建议从简历优化、当下怎么做、未来规划三个点出发仅供参考。简历一定是要优化的不要再直接套模板。熟练使用Burp Suite、Wireshark熟悉某某设备结果一问三不知这种写法是在给自己挖坑。在校学生大部分人必然没有工作经验就往简历上写大学学了什么课程、是不是学生会、绩点多少。这些内容在名校校招时可能有用但对大部分普通人来讲海投简历时并非加分项反而会让HR认为这个人只能适应学校里的学习氛围无法解决企业面临的实际问题。而普通人因为信息闭塞这又牵扯出一个更深层的宏观问题。当初选专业是因为热爱还是单纯为了上大学如果一开始就对未来没有规划那到写简历的时候除了课程和绩点确实就没得写了。后面我会给在校生和应届生一些建议在此之前先贴一张我整理的个人简历部分信息已简化不算优秀仅供大家参考结构。拿我自己的简历自我剖析一下先说我觉得做得还可以的地方。一是能力板块罗列得比较清楚应急响应、渗透测试、代码审计、安全运营这些方向各自成块HR扫一眼就知道我是干什么的。二是项目经历做了编号一共40条面试的时候双方沟通效率很高面试官说第几条我就能直接讲第几条。三是技术影响力做了量化账号粉丝数、运营增长的对比数据都写明了数字比形容词有说服力。再说说缺点也得客观。一是技能板块铺得太宽十个方向全写上容易给人留下不够精的第一印象实际上应该有取舍突出主线。二是项目经历数量太多40条列出来对方抓不住重点其实只留最能代表水平的5至8条每条写清楚角色、动作和结果效果可能更好。三是我个人目前的证书数量还有欠缺这也是事实后续有增加证书考试的规划。另外分享一个实用的简历产出技巧也是我目前在用的方法。把曾经做过的项目、拿到的奖项、掌握的技能先汇总成一份文字材料然后写好提示词让AI帮你优化结构和表达直接输出HTML格式的简历文件排版简洁的那种。用浏览器打开确认效果再通过浏览器的打印功能导出成PDF即可。后续如果需要新增信息或者针对不同岗位调整侧重点直接改HTML源码重新导出比每次都去套在线模板快得多。这个思路本质上是用AI快速解决重复性工作简历只是其中一个场景应急报告、培训课件、投标材料的初稿都是同一个套路。七、个人能力怎么定向提升简历只是敲门砖门敲开之后坐下来拼的是真实能力。对在校学生我建议坚持一个原则听宣不听调。上课该签到签到保证顺利毕业的同时业余时间多关注行业内的真实动向。比如关注一些高质量账号侧重看那些分享行业动态、实战知识的注意避坑培训类账号。总有粉丝师傅问我有没有培训机构推荐此处我不做推荐。AI时代知识内容更新迭代非常快优质培训不好找与其把希望寄托在别人身上不如培养自学能力。多参加一些线上比赛比如Solar应急响应月赛这是我现在所在公司每个月举办的公益性比赛年底还有奖品拿有时候我也会参与出题题目全部来源于真实项目脱敏后的实战场景。往期的部分题目复盘可以参考【应急响应】某医院HIS系统被植入挖矿木马附开源排查环境学习干货|首发黑灰产靶场之恶意浏览器插件窃密与远控溯源复盘应急响应|全网首发变种勒索病毒仿真靶场从排查到解密(附开源训练环境)应急响应|某项目特洛伊挖矿木马靶场复现(附开源环境)应急响应|2025年勒索病毒排查溯源指南(附开源训练环境)另外多参加一些行业群聊了解行业动态。在我曾经与业内师傅柯林斯交流时他提到过一句话我深以为然他从不看课只看群里师傅们平常聊的重点因为那些太值钱了。这句话背后的逻辑是课程里的知识是整理好的、滞后的、面向所有人的而行业群里一线师傅聊的是正在发生的、具体的、带场景的。后者才是真正的活知识。有时候在群里混个脸熟慢慢的可能就有内推的机会了。机会有时候不是投简历投出来的毕竟谁会为一个不熟悉、不了解的人做内推背书呢对于应届生来说此处不谈顶流学校也不谈有资历的师傅。对我们大部分普通人来说一来能力浅薄二来学校不算出众那就像前面说的一样先把预期放稳。我身边有不少这样的例子先找一份工作进入行业再谈稳步上升。正如前面所说先有敲门砖再谈后续。参考我之前的经历和大部分普通人没什么两样学习干货|从迷茫到前行我的网络安全学习之路八、未来规划被动比主动更强对普通人来讲我还是建议做一个自己的账号尽量把自己的能力体现出来。设想一个场景当你是一个平凡的普通人时简历写得天花乱坠只能靠招聘平台海投对面的HR很难判断你的能力有没有被包装过。HR每天收到几十上百份简历不可能一份份细看、一个个约面试他只能通过学历、工作年限先筛掉一部分人你大概率就是那个被过滤掉的。为什么我建议做账号因为简历可以包装面试题可以提前背这些都可能影响面试时的判断HR未必能分辨出真实水平。但你在互联网上留下的文章是可以追溯的发布时间、内容质量、一路走来的成长轨迹都摆在那里这些是铁打的事实装不出来也删不掉最能看出一个人的真实水平。这一点我在之前的生日文章里也聊过生日快乐|一年为期步履不停写在23岁关于成长的一些真话说这些的意义是希望大家把自己的闪光点展示出去让更多人认识你。被动吸引比主动推销的效果强得多。从一个普通人到业内口中的某某大佬可能就差一步。至于怎么去做、怎么去写我的经验也有限更多也是靠自己一点点研究摸索。如果你仍然不知道从哪里开始建议从2023年我做账号的第一篇文章开始读看看我是怎么写的风格是怎么一步步优化的。如果能从中学到东西并且执行力够强地做起来一定会有效果。说到底做账号也好打磨技术也好本质上都是在做差异化别人没有的你有别人有的你做得强一些这就是属于你的护城河。九、步入职场的小白三种状态要警惕找到工作只是开始。接着给刚步入职场的小白一些避坑指南从学生蜕变成真正的职场人这些坑大部分人都踩过我也是这么过来的。什么样的人在职场中一定混不下去或者一定混得很差结合我从实习到工作再到现在观察上百人的经历总结下来有三类人。第一类把公司当学校的人。这种人见得特别多一进公司满脑子想的都是公司能教我什么领导有没有耐心带有没有系统的培训同事愿不愿意把经验分享给我。待了一个月发现没人手把手教就开始觉得这家公司不行学不到东西这个领导不会培养新人。公司和学校最大的区别我觉得值得单独拿出来说。去学校是你给学校交钱所以老师有义务教你来公司是公司给你钱他不主动教你很正常你得先帮他解决问题。公司当然应该有基础的培训、岗位资料和工作交接新人丢进去完全不管那确实是公司的问题但公司绝不可能像学校一样先发你一本某岗位从入门到精通老板再每天抽两小时给你上课。你的领导不是班主任同事也不是你花钱请的家教。职场和学校还有一个最大的不同职场里大部分问题都没有标准答案。老板让你分析一下为什么最近告警量突增他问这个问题的时候自己大概率是不知道答案的他要知道答案直接告诉你怎么改就完了。所以真正聪明的新人是什么样的不是领导说一句你再干一点而是自己先尝试干着先看之前做过的版本先翻历史报告先找会议纪要再照着过去比较好的案例做一个初版。真的遇到实在不会的东西再拿着问题去问但问法完全不同。别上来就是一句这个我不会你跟我说该怎么做。你完全可以说我看了之前几个项目的报告把最近三个月的数据整理了一遍我觉得问题可能出在两个地方先做了个初版但有两个地方还不太确定想请您帮我看看方向对不对。同样都是表达不会给人的感觉天差地别。第一种是没做准备把问题原封不动甩给老板第二种是自己先做了一堆实在没招了再来确认方向。这体现的不仅是能力问题更是态度问题。第二类把辛苦当价值的人。这种人也特别典型每天看起来全公司最努力早上第一个来晚上最后一个走凌晨还在群里发消息一份报告能改十几版甚至周末还要在朋友圈发加班的照片。然后老板一问你得出了什么结论他只能说老板我这两天真的特别辛苦。但客观讲辛苦和公司需要的价值并不能直接画等号。公司发工资不是买你加班的是买你解决问题的。举个安全行业的例子。领导让你分析一下这个月的安全运营告警数据你花3天搞了一份上百页的报告把每条告警的时间、源IP、规则名称全抄了一遍表格配色调得跟艺术品一样。结果领导看完问一句那我们下个月应该重点防什么你说这个我还没想好。那这上百页报告跟废纸有什么区别反过来另一个人只做了5页但他直接告诉领导本月告警量上升不是因为攻击变多主要是新上线的那批资产没加白名单误报占了七成真正的攻击集中在OA和VPN两个入口建议先做收敛。领导看完下一秒就知道团队该干什么这才是价值。再比如做渗透测试交上去50页报告全是扫描器跑出来的中低危真正核心业务系统的逻辑漏洞一个没有。又或者做安全账号运营每天发文章看似勤快但回答不了粉丝增长靠的是哪类内容。所以在我看来职场不是按工作量给钱的也不是按加班时长给钱的。甚至你天天加班到凌晨领导的第一反应大概率不是感动而是这件事真的需要做这么久吗是任务太多了还是效率太低了是不是没抓住工作重点。辛苦本身不是能力有时候反而暴露你不会拆解任务、不会用工具、不会评估优先级。当然我不是说加班就是错的项目临时上线、应急节点确实赶该投入就要投入。但加班只是成本就像去餐厅吃饭厨师在后厨累得满身大汗最后端上来一盘夹生饭你也不会因为他流了汗就觉得这顿饭好吃。第三类把平台当能力的人。这个在大公司里特别常见越是好公司越容易出现。你在头部厂商做安全服务客户一看你们的品牌就愿意签约方案还没讲预算就批了干了两年你觉得自己是方案鬼才。你在知名SRC排行榜上挂着名觉得是自己挖洞无敌但没想过平台的漏洞奖励机制和流量倾斜占了多少成分。等有一天离开平台自己从头开发客户、从0做一个项目才发现过去的很多结果并不完全属于你一个人。一个好的平台本来就会给你品牌、预算、流量、流程和资源这也是大家想进大厂的原因。但最可怕的是你把平台借给你的东西全部算成了自己的能力。所以我特别建议大家在大平台工作时经常问自己一句如果明天把公司的品牌、预算、流量和现成的流程全部拿走我还剩下什么当然如果企业品牌的建设你有重大参与或者本身就处在决策侧那就另说了。如果答案是什么都不剩那你现在拥有的只是一个好工作平台而不是一套强的工作能力。当然大平台的价值不可否认你能见到小公司见不到的项目、人才、流程和资源。但你真正应该从平台带走的不是客户名单不是公司文件更不是优越感而是行业理解、解决问题的方法、公开能讲的项目经验、跨部门协作的能力以及一套换一家公司照样能用的工作方法。毕竟咱们在青楼打工是为了能尽早赎身而不是为了当头牌。十、如何汇报工作上面聊的三类人都是心态层面的事心态摆正之后还得落到具体的动作上。接下来聊一个职场里最常用、也最能拉开差距的硬技能汇报。有效的沟通可以直接体现一个人的能力。尽量在简短的内容和时间里把工作汇报、方案探讨讲清楚是职场里性价比最高的基本功。举个我近期的真实例子。我在跟进某勒索病毒溯源事项时经过溯源代码和日志层面确认漏洞无误但漏洞验证环节确实存在一些问题。做阶段性汇报时我没有只抛问题而是把现状、结论和可选方案一起给了老板让老板做选择题而不是问答题。这里也做个说明当时正值国庆假期期间客户方面与对应ERP厂商的对接存在一定延迟我的互联网批量测试方法严格参照CNVD对互联网资产的口径执行无任何违法违规行为。这个例子里有几个要点。一是先讲结果老板最关心的是事情现在什么状态而不是你过程有多曲折。二是承认问题验证环节有问题就直说藏着掖着只会让小问题拖成大事故。三是永远带着方案汇报哪怕方案不成熟也好过两手一摊。四是特殊时间节点要提前管理预期假期、厂商响应慢这些客观因素说在前面是同步信息事后才说就是找借口。上方的职场处事心得受益匪浅汇报工作先讲结果再说过程会议发言先亮观点再补充细节布置任务只讲目标不限定做法解决问题先分析原因再给方案处理冲突先体谅情绪再讲道理批评指正先摆事实再谈期待。不一定对所有人适用但这两年实践下来对我自己帮助很大分享给大家参考。十一、35岁危机是真的聊完了找工作和刚工作最后聊聊那个所有人都绕不开的话题。这个我确实感同身受也和开头提到的一致。在那批简历里有一个比较扎眼的情况一位刚过35岁的师傅安全工作经验15年左右最后一份工作在某大厂待了10年在近期的裁员风波中受到波及。通过简历看能力这位师傅传统安全经验非常丰富安全设备非常熟练渗透测试、安全运营都有经验。如果硬要挑毛病大概率是在AI方面的研究没有那么深入。这句话说出来很残忍但这就是市场正在发生的事情企业端在招AI方向的人而有15年经验的传统安全从业者被性价比三个字挡在了门外。据业内人士提到35岁是一个槛。如果上不了管理层技术层面的学习能力又有退化加上家庭负担和年轻人相比很难来一场说走就走的差旅身体素质也有所下降。比如前段时间我和一位同事线下应急连熬3个通宵干完了一周的活年轻的时候身体恢复得快过了30岁再这么熬一次一个礼拜都缓不过来。在现实生活和技术层面的双重挤压下这个年龄段的从业者非常容易受到裁员风波的影响。这也是为什么很多人挤破头都要进甲方大家都渴望铁饭碗。由于我年龄资历尚浅无法给这个年龄段的前辈什么建议但我还是希望无论大家现在处于哪个阶段都能够尽早建立自己的能力护城河提前做好灾难对抗降低危害给自己留条后路。护城河可能是AI时代下别人替代不了的复合能力可能是行业里积累的影响力也可能是一份随时能启动的副业。当到了一定年龄后大家都开始信命了或者说开始学着认命。这里说的认命不是消极认输而是慢慢分清哪些事是自己能改变的哪些事不能。能改变的部分全力以赴不能改变的部分坦然接受尽人事听天命。把能做的准备都做足剩下的交给时间。结语找工作这一路的难我懂因为我自己就是这么过来的。从菏泽的中职单招到济南的大专到7×24小时的驻场再到现在每一步都算不上顺利但每一步都算数。如果您想进一步了解我可以看看这两篇文章学习干货|从迷茫到前行我的网络安全学习之路生日快乐|一年为期步履不停写在23岁关于成长的一些真话