每年春招季网络安全厂商的笔试总是比纯互联网大厂多出那么点“火药味”。奇安信作为国内安全赛道的老牌厂商软件开发方向的试卷2我做完之后最大的感受是它不像一般公司那样只考LeetCode和八股文而是把安全思维揉进了每一道基础题里。如果你只刷题不思考“数据从哪来、可信不可信”这套卷子会做得相当难受。这篇文章我会完整复盘这套试卷的考点分布、出题逻辑和答题思路把每一类题背后的考察意图拆开讲清楚。无论你是准备投递奇安信还是想了解安全厂商对软件开发工程师的能力预期这篇内容都值得你花几分钟看完。1. 这份试卷到底在考什么真题全景与出题逻辑先说结论奇安信软件开发方向的笔试本质上考的是“具备安全意识的软件工程师”的基本盘。它不是要招一个纯粹的算法竞赛选手也不是要招一个只会写CRUD的业务码农而是要找一个能理解“软件在真实世界里会被攻击”的开发人员。整份试卷2给我的感觉是风格非常务实。题量不算夸张但覆盖面很广大致包括计算机网络、操作系统、数据结构与算法、数据库、Linux基础、安全编码等几个大块。其中安全编码和网络协议这两块明显比普通互联网公司的校招笔试题占比更高分量更重。这其实和奇安信的业务性质直接相关——作为安全厂商你的代码如果存在漏洞那不只是产品质量问题而是公司信誉和客户安全问题。从题型上看试卷2采用了比较经典的选择题单选多选、填空题、编程题和简答题的组合。选择题部分不仅考察记忆性知识更爱给一段代码或一个场景让你判断输出结果或者找出问题。这种出题方式不是在考“你背没背过”而是在考“你到底懂不懂”。让我印象很深的是试卷里反复出现对输入数据可信度的考察。比如给你一段从请求参数中取值的代码问存在什么风险或者给你一个路径拼接的片段让你判断有没有问题。这种题型背后隐藏的考察逻辑是你有没有形成“一切输入都不可信”的条件反射。在安全厂商做开发这个意识是底线要求也是日常工作的基本素养。还有一个值得注意的点是试卷2对Linux操作和命令行工具的考察比例不低。比如常见文件权限的含义、查看进程或网络连接的命令、Shell脚本的基本语法等。这想必是因为安全软件的部署环境大多是Linux服务器而且很多安全分析工具本身就是跑在Linux下的开发人员如果对Linux不熟协作效率会非常低。整体来看这份试卷的难度层级是递进的。选择题部分只要基础扎实、有实际项目经验基本不会太慌但编程题部分对代码质量、边界处理、异常情况的设计有一定的要求不是简单背一道题就能蒙混过关的。后面的简答题更是直接给一个开放性场景让你设计解决方案这种题没有标准答案考察的是思维方式和表达逻辑。所以我的建议是如果你打算投奇安信的软件开发岗不要只刷算法题至少要把计算机网络、操作系统、数据库这三块的基础知识过一遍再有意识地看一些Web安全、输入校验、文件上传、路径遍历之类的安全编码规范这样面对试卷时心里会踏实很多。1.1 核心需求解析安全厂商要什么样的开发在细聊每一类题型之前我觉得有必要先把奇安信这类安全厂商对“软件开发工程师”的期望讲清楚。只有理解了需求方要什么你才知道复习重点该放在哪里。安全厂商开发的软件往往部署在客户的核心业务环境里。以奇安信的天擎终端安全管理产品为例它要在成千上万台终端上稳定运行既要保证功能正常又要在被恶意软件对抗的环境下保证自身不被攻破。这就对开发人员提出了三个层面的要求。第一个层面是扎实的工程基础。C/C、Java、Python至少精通一门数据结构和算法要能写能调进程、线程、内存、网络这些底层概念不能含糊。安全软件往往是常驻进程需要考虑资源占用、稳定性、兼容性问题这些都需要扎实的系统编程功底。第二个层面是强烈的安全意识。普通业务软件的开发人员可能写完一个功能测试通过就完事了但安全厂商的开发人员必须多问一句如果这个接口被恶意调用会怎样如果这个参数被篡改会怎样如果用户上传了一个精心构造的文件会怎样这份试卷里大量安全编码题就是在筛选具备这种思维习惯的人。第三个层面是快速学习能力。安全领域技术更新极快今天还在用某个框架明天可能就爆出新漏洞要升级改造。笔试只是一个入口面试官更想看到的是你有没有持续学习的技术热情以及面对未知问题时能不能快速定位和解决。如果你拿这三个层面去对照试卷的题目分布会发现每道题都有它存在的理由几乎没有一道是纯粹的凑数题。这也是我复盘完这套试卷后最大的感触大厂笔试很多题考完就忘但这套卷子里的题目指向性非常明确就是在筛选“能直接上手做安全产品开发”的人。1.2 题型分布与时间分配建议试卷2的题型分布大概是这样的比例计算机基础选择题网络、操作系统、数据库占大头大约百分之四十安全编码相关题目占百分之三十算法与编程题占百分之二十剩下的是Linux基础和一些开放性的设计问答题。这个分布意味着如果你按照传统互联网公司笔试的复习路子来只刷LeetCode大概率会栽在安全编码题上。安全编码题的考察方式通常不是让你攻击系统而是分析一段代码的风险点或者从几个选项中选出正确的修复方案。这种题靠死记硬背很难命中需要你真正理解漏洞产生的原理。我在做这套卷子的时候给自己定的时间分配是这样的选择题和填空题控制在五十分钟内完成编程题留四十分钟最后三十分钟给简答题。选择题里遇到拿不准的不要恋战先标记跳过等所有题做完再回头思考因为后面简答题的分值更高思路顺畅的时候写起来效率也更高。关于时间分配还想多说一句编程题不要一上来就写最优解。先写一个暴力解法把思路跑通再逐步优化到能够通过复杂度的版本比憋半天想一个最优解最后没写完要好得多。笔试平台一般会给出部分通过用例的得分哪怕只跑了暴力解也能拿到一部分分数。2. 基础功底大摸底网络、并发与内存的那些必考题如果说安全编码是这份试卷的“特色菜”那计算机基础知识就是“基础主食”。这部分题目的特点是考得很细尤其偏爱那些“你以为你懂了但实际没完全懂”的知识点。下面我挑几类高频考点详细说一说。2.1 网络协议高频考点TCP三次握手与HTTP状态码的进阶问法网络协议部分TCP三次握手几乎是必考的但奇安信试卷的考法不落俗套。它不太可能直接问“三次握手的过程是什么”而是更喜欢给一个异常场景让你分析。比如服务端的半连接队列满了会发生什么SYN Flood攻击为什么能生效或者抓包看到大量SYN_RECV状态意味着什么。这类题目的背后逻辑实际上是将网络协议的知识与安全攻击手法联系起来。SYN Flood利用的是TCP三次握手的半连接机制通过发送大量SYN包但不完成握手耗尽服务端的半连接队列。如果你只是机械地记住三次握手有SYN、SYNACK、ACK三个步骤遇到这种题就会无从下手。但如果你真正理解了握手过程中服务端资源是在收到SYN时就分配的、以及超时重传机制的存在就能自然推导出“大量不完整的握手请求会拖垮服务端”这个结论。HTTP协议同样是高频考点但试卷更关注的是状态码语义、请求头的作用以及常见的Web攻击手法。比如403和401的区别是什么Cookie和Session的关联与区别HTTP和HTTPS在传输安全上的差异。奇安信作为安全厂商对HTTPS、TLS握手过程、证书信任链这些知识点的考察优先级明显高于普通互联网公司。我建议复习的时候重点看TLS握手过程包括对称加密与非对称加密在握手过程中的配合使用、证书链的验证逻辑、以及常见的TLS配置问题。另外一个容易忽略的考点是HTTP请求走私和请求头注入。这类题目会给你一段服务端代码问你客户端可以如何构造请求绕过限制或者如何让服务器解析出和客户端不一致的请求。这类题目对日常写业务代码的人来说可能比较陌生但对于安全产品开发而言理解协议解析的差异是基本功因为很多WAFWeb应用防火墙产品本质上就是在协议解析层做文章。2.2 并发与线程锁、死锁与线程安全的代码判断并发编程在软件开发岗笔试题里出现的频率一直很高奇安信试卷也不例外。常见的考察形式是给你一段多线程代码问你输出结果是什么、存在什么问题、应该如何修复。这类题的目的很明确就是考察你对线程安全、锁机制、内存模型的理解深度。有几类必考点你务必要掌握。第一类是synchronized和Lock的区别包括可重入性、可中断性、公平性、以及锁的底层实现机制。第二类是死锁的产生条件和排查方法。死锁的产生需要满足互斥、持有并等待、不可剥夺、循环等待四个条件笔试中看到多个线程互相持有对方需要的锁基本就可以判定死锁风险。第三类是volatile关键字的作用和局限性要清楚它保证可见性但不保证原子性所以像count这种操作即使用volatile修饰依然不是线程安全的。代码判断类的题目试卷通常会设计一些看似正确实则有问题的小陷阱。比如双重检查锁单例模式中如果没有把实例变量声明为volatile会因为指令重排导致拿到未初始化完成的对象。这种题如果只是背过“双重检查锁要加volatile”而不理解为什么换一种写法考察可能就会出错。我建议你在复习的时候把所有常见的单例写法都自己写一遍然后分析每种写法的线程安全性这样印象会深刻很多。还有一些题目会考线程池的参数配置和任务执行策略。比如核心线程数、最大线程数、阻塞队列容量之间的关系当任务数超过队列容量时会发生什么。这也和安全场景有关因为安全产品的很多功能模块是异步处理的比如日志收集、告警推送、病毒查杀任务调度线程池配置不合理在高负载场景下很容易出问题。2.3 内存管理从堆栈分配到内存泄漏排查C/C相关的岗位方向在试卷里会涉及更底层的内存题目但Java方向的试卷也会有内存相关的题目只是侧重不同。简单说Java方向更偏向JVM内存结构和GC机制C/C方向更偏向指针、堆栈、以及内存泄漏的检测。如果你投的是Java方向建议重点掌握这几个点堆内存和栈内存的区别、新生代和老年代的划分、常见的GC算法、以及何时触发Full GC。奇安信笔试中曾经出现过结合生产场景的问题比如一个服务频繁Full GC服务器的CPU使用率飙升你如何排查。这种题虽然开放性强但答题逻辑是固定的先看GC日志确认GC频率和耗时再用jstat、jmap等工具分析堆内存使用情况找到占用内存最多的对象最后结合代码定位到具体的创建位置。如果你投的是C/C方向指针和内存分配是重中之重。函数栈帧的布局、堆内存的分配释放、悬空指针和野指针的区别、内存泄漏的常见场景这些都需要烂熟于心。奇安信的安全产品很多核心模块采用C实现对内存管理能力的要求非常高因为这类产品追求性能和稳定性一个内存泄漏在长期运行的终端上会造成严重问题。内存相关的题目通常会结合代码片段考察比如给一段使用完资源后没有释放的代码问你有什么问题以及如何修改。这种题难度不高但很考验习惯。如果你平时写代码就注意RAII资源获取即初始化和智能指针的使用答这类题基本毫无压力。反之如果你平时很少关注资源释放就容易漏掉关键点。3. 安全厂商的“隐藏关卡”安全编码与漏洞思维接下来重点聊这套试卷最有辨识度的部分——安全编码相关的内容。这一部分在我做过的所有校招笔试题里都属于比例相当高的也从侧面说明奇安信对开发者安全素养的重视程度。3.1 输入验证与路径遍历一道隐藏经典的深度拆解试卷2里面有一道让我印象深刻的题考的是路径遍历漏洞这题出现在热词搜索里也被反复提及。题目会给你一段这样的代码逻辑接收客户端传入的文件名参数拼接上服务器预设的目录然后读取文件内容返回给用户。我第一次接触这道题的时候第一反应是“这不就是简单的文件读取功能吗”但仔细一想就发现问题了如果文件名参数是../../etc/passwd呢拼接出来的路径就会跳出预设目录直接读取服务器上的敏感文件。这就是经典的路径遍历漏洞本质原因是把用户输入直接用作文件路径而没有做任何合法性校验。正确的防御方式包括但不限于几种思路。第一种是最简单粗暴的过滤方式对传入的文件名做白名单校验只允许纯字母数字和指定后缀。第二种是使用规范化函数在拼接路径后先做绝对路径解析然后检查最终路径是否在预设目录内。第三种是避免拼路径直接把文件索引映射到服务器端的文件路径客户端只传一个ID而不是文件名。这道题最值得琢磨的地方在于它考察的不只是“知不知道路径遍历”而是你有没有从攻击者视角审视代码的习惯。天擎这样的产品大量功能涉及文件操作比如病毒样本收集、日志导出、补丁分发如果开发时没有路径校验意识任何一个文件读取接口都可能成为攻击入口。我后来在写代码时都会形成条件反射凡是涉及文件路径、URL跳转、SQL语句拼接的地方第一个想到的就是“这个输入是否可控、可控的话如何限制”。3.2 SQL注入与XSSWeb安全必答题的答题框架SQL注入在安全厂商笔试题里出现概率几乎百分之百。这是一种历史极为悠久但至今仍然频繁发生的漏洞类型它的核心成因是将用户输入直接拼接进SQL语句导致输入被当作SQL代码执行。试卷里常见的考察方式是这样的给你一段登录功能的代码字符串拼接了用户名和密码问你如何绕过登录或者如何修复。如果你对SQL注入有所了解就能想到通过输入 OR 11 --这种经典payload构造恒真条件。修复方案也很直接使用PreparedStatement参数化查询让SQL语句结构在编译时就固定用户输入永远只作为参数值参与执行无法改变语句结构。关于XSS跨站脚本攻击试卷更像是给你一段前端代码让你指出输出到HTML页面的用户内容存在什么风险。XSS的核心是未对用户输入做HTML转义导致恶意脚本被执行。防御的关键是区分“数据”和“代码”用户输入只能当作纯文本数据显示不能当作HTML或JavaScript解析。在服务端要对输出做编码转义在前端要尽量避免使用innerHTML直接插入用户内容优先使用textContent。我在复盘这些安全编码题的时候发现它们其实有一个共同的分析框架识别不可信输入、追踪数据流向、判断是否进入危险函数。不管是SQL注入、XSS、命令注入还是路径遍历都是不可信数据到达了危险执行点。你只要建立这个思维框架遇到任何安全编码题都不会完全没思路至少可以判断题目的考察方向。3.3 代码审计视角像攻击者一样阅读代码试卷里安全编码题的另一个特色是给出一段看似正常的代码让你找问题。这类题目考的不只是知识面更是代码审计的基本功。想做好这类题你需要培养像攻击者一样阅读代码的习惯。具体来说我会按这个顺序审视一段代码首先看数据入口代码从哪些地方获取外部输入比如请求参数、文件内容、网络数据包然后追踪数据的流向看它经过了哪些处理有没有被过滤或转义最后看数据出口也就是危险函数的位置SQL执行、命令执行、HTML输出、文件写入、反序列化都是重点关注对象。有一次刷题时遇到一个很有意思的代码片段功能是把上传的文件名拼接到tar命令中执行。出题人故意在代码里做了层层过滤比如过滤了空格和分号看起来似乎安全但实际上只要换个思路利用IFS环境变量代替空格命令注入依然可以成立。这种题目如果你只是套过滤规则很容易掉坑但如果你理解命令注入的本质是“shell会解析特殊字符”就能跳出题目设置的迷惑找到绕过路径。代码审计相关的题目是最难临时抱佛脚的它需要你在平时写代码时就有意识地思考安全问题。我的建议是复习阶段可以多看看OWASP Top 10的经典漏洞类型每个漏洞找两个真实的CVE案例读一读明白漏洞是怎么被发现和利用的。这样不仅对笔试有帮助对面试中聊项目经历也很有价值。4. 算法与编程题从暴力解到满分答案的进化路径聊完特色内容再回到传统考项——算法与编程题。奇安信的编程题难度整体属于中等偏上不会像一线大厂那样出超难的动态规划压轴题但非常注重实际场景和边界条件。题干通常会给一个偏工程化的描述需要你从问题描述中抽象出算法模型。4.1 一道典型的拓扑排序题课程表问题变形我印象中试卷2里有一个题和“课程表”问题很相似要求判断给定的课程依赖关系是否存在循环依赖。这个题的场景设定和软件开发中的依赖解析非常贴近比如模块加载依赖、Maven包依赖、编译顺序确定等因此很有安全厂商产品的实际风格。拓扑排序的核心思路是每次从图中取出一个入度为0的节点移除它以及它出发的所有边重复这个过程如果最终能取出所有节点则无环否则存在环。在实现上通常使用邻接表存储图结构配合一个队列维护入度为0的节点集合再用一个数组记录每个节点的入度。时间复杂度是O(VE)这里的V是节点数E是边数。代码实现并不复杂核心步骤如下// 以C为例的拓扑排序判断有环 class Solution { public: bool canFinish(int numCourses, vectorvectorint prerequisites) { vectorvectorint graph(numCourses); vectorint indegree(numCourses, 0); for (auto p : prerequisites) { graph[p[1]].push_back(p[0]); indegree[p[0]]; } queueint q; for (int i 0; i numCourses; i) { if (indegree[i] 0) q.push(i); } int visited 0; while (!q.empty()) { int cur q.front(); q.pop(); visited; for (int next : graph[cur]) { indegree[next]--; if (indegree[next] 0) q.push(next); } } return visited numCourses; } };很多人在笔试时容易忽略的一个点是输入数据中可能存在重复的依赖关系。比如[[1,0],[1,0]]如果代码不处理入度会被重复计算可能导致结果为有环。考试时也许不会专门为难你但如果你在代码里做了去重处理这就会成为体现工程素养的加分项。4.2 实现LRU缓存手写一个系统级组件另一道比较有代表性的编程题是实现LRU缓存。LRULeast Recently Used最近最少使用是一种非常经典的缓存淘汰策略在安全产品中也有实际应用比如病毒库的本地缓存、扫描结果的临时存储等因此这道题出现的频率很高。LRU的标准实现是哈希表加双向链表。哈希表负责O(1)时间定位节点双向链表维护访问顺序最近访问的节点放到头部容量超限时删除尾部节点。get操作时若命中需要把节点移动到头部put操作时若关键字已存在更新值并移到头部否则在头部插入新节点并检查是否超容量超了则删除尾部节点。这个题考察的核心不只是“会不会写链表”而是几个细节处理能力。比如头尾节点的虚节点设计能不能简化边界判断节点移动时指针操作是否准确以及哈希表存储的内容是链表节点的指针还是迭代器。我见过不少人在手写双向链表时因为忘记更新尾节点指针而出错笔试环境没有调试器这种低级错误非常伤。# Python版LRU适合当笔试模板记忆 from collections import OrderedDict class LRUCache: def __init__(self, capacity): self.capacity capacity self.cache OrderedDict() def get(self, key): if key in self.cache: self.cache.move_to_end(key) return self.cache[key] return -1 def put(self, key, value): if key in self.cache: self.cache.move_to_end(key) self.cache[key] value if len(self.cache) self.capacity: self.cache.popitem(lastFalse)如果笔试平台支持Python用OrderedDict实现最省时间。但如果岗位对C要求高建议仍然熟练掌握手写双向链表的版本。面试中如果聊到这个题手写链表版本会更显得功底扎实。4.3 笔试题的边界思维分数藏在细节里编程题的得分点往往不只是“最终结果是否正确”还包括是否考虑了边界条件、是否处理了异常输入、代码是否有良好的可读性。很多同学做题时一看到样例通过就提交结果后面隐藏的测试用例全挂这种情况非常可惜。具体来说边界条件通常包括这几类空输入、只有一个元素的输入、极端大数导致的溢出、输入中包含非法字符、以及题目没有明确说明但实际存在的隐含条件。比如设计一个字符串解析函数如果没有规定输入长度上限是否要考虑超长字符串带来的内存爆炸风险如果输入中包含不可见字符是否做了处理另外一个技巧是拿到题目先不要急着写代码花两分钟在草稿纸上把题目的输入输出约束、时间空间复杂度要求、边界情况列表写清楚。这个习惯看起来耽误时间实际能显著降低编码过程中的返工概率。我在笔试中发现凡是认真列过边界情况的题目通过率都会高很多。5. 笔试实战避坑手册环境、时间分配与从面试官视角看答题最后这部分聊聊试卷以外的实战经验。一套笔试题做得好不好除了知识储备答题策略和考场心态同样重要。这些都是我踩过坑之后总结的经验希望能帮你少走弯路。5.1 在线笔试平台的操作要点奇安信的笔试通常使用第三方在线评测系统这类系统一般支持代码自动判题但不同题目对编程语言的版本支持不同。进考场后第一件事是确认每道编程题支持的语言版本别等写完代码提交了才发现编译器版本不支持某个语法特性。在线评测系统的输入输出处理也值得注意。有些题目要求从标准输入读取多行数据有些要求从指定文件读取还有些题目有多个测试用例需要循环处理。处理不好输入输出格式哪怕算法逻辑完全正确也会判错。我建议提前熟悉评测系统的示例格式如果允许本地调试先用示例数据跑通再提交。笔试过程中不要关闭浏览器标签页或者切换得太频繁有些系统会检测切屏行为次数过多可能会被判定为作弊。虽然正常查看本地代码不会误判但如果确实需要查询资料先评估一下风险。5.2 时间分配和答题顺序的策略我的建议是按分值比例分配时间先做分值高的题目。编程题虽然单题分高但耗时也长如果把它放在最后又没写完会非常影响总分。合理的策略是先用半小时快速扫一遍所有题目标记出会做和不会做的会做的优先拿下不会做的先放着。选择题遇到拿不准的不要在一道题上死磕超过两分钟。这些题往往考察的是记忆性知识点纠结太久也想不起来。先凭直觉选一个标记起来等其他题目完成后再回来结合全卷信息做判断。有时候后面的题目会给你提示帮助你回忆起之前不确定的知识点。简答题和设计题是最容易拉开分差的环节。这类题目通常没有标准答案阅卷人看的是你能不能自圆其说、逻辑是否清晰。我的经验是用“总—分—总”的结构组织答案先给出结论或方案概览再分点展开理由和细节最后简单总结。每个点都尽量结合一个具体的例子说明这样既显得有实战经验又能扩展篇幅展示思考深度。5.3 从面试官视角反推考察意图我在准备很多面试之后发现一个通用方法论不要只站在考生角度“解题”要尝试站在出题人角度思考“这个人想在试卷里看到什么能力”。奇安信的笔试题目设计者想通过这套卷子找到的人大概率具备三个特征。第一个特征是基础扎实。很多公司校招其实并不指望应届生入职就能干活而是看重基础是否扎实、能不能快速学习。所以基础题做得好的人通常更容易进入后续面试环节。第二个特征是安全敏感度。安全厂商的软件开发者如果自身没有安全意识代码质量会埋下巨大隐患。卷子里大量安全编码题的目的就是筛选出具备这种敏感度的人。你在复习时不要只背漏洞定义要理解漏洞产生的上下文尝试站在攻击者角度思考。第三个特征是工程思维。笔试题里那些看似和算法无关的边界条件、异常处理细节其实都在考察工程能力。能注意到这些细节的人通常在工作中也会更靠谱。5.4 复习建议与常考资源清单临近笔试前建议按以下清单做最后的查漏补缺。第一计算机网络重点看TCP/UDP、HTTP/HTTPS、DNS以及常见的Web攻击手法。第二操作系统重点看进程线程模型、死锁条件、内存分配、文件系统。第三数据库重点看索引原理、事务隔离级别、SQL注入与参数化查询。第四数据结构和算法重点看链表、哈希表、二叉树、拓扑排序、LRU、快排及变种。安全编码相关的知识可以尝试在技术社区搜索奇安信官方发布的开发安全规范类材料这类资料一般会覆盖常见漏洞类型、代码示例和修复建议。另外奇安信的代码卫士产品是集团公司内部使用的静态代码分析工具虽然不对外提供下载但它的功能定位是帮开发人员发现代码中的安全缺陷了解这类工具的检测规则也能反向帮助你理解试卷中安全编码题的出题点。如果时间充裕可以去牛客网搜一下往年网友分享的奇安信笔试真题回忆虽然不成体系但能帮助你掌握出题风格和部分高频考点。再配合LeetCode的Top Liked题目刷一刷保持算法手感整体准备就差不多了。我个人在实际操作中的体会是这套试卷最难的其实不是某一道题而是如何在有限时间内稳定输出。知识储备决定你的上限答题策略和心态决定你的下限。把基础打牢、把安全思维刻进脑子、再在考场上稳住节奏奇安信软件开发方向的笔试并没有想象中那么可怕。 奇安信软件开发笔试复盘：安全思维如何贯穿技术考点
每年春招季网络安全厂商的笔试总是比纯互联网大厂多出那么点“火药味”。奇安信作为国内安全赛道的老牌厂商软件开发方向的试卷2我做完之后最大的感受是它不像一般公司那样只考LeetCode和八股文而是把安全思维揉进了每一道基础题里。如果你只刷题不思考“数据从哪来、可信不可信”这套卷子会做得相当难受。这篇文章我会完整复盘这套试卷的考点分布、出题逻辑和答题思路把每一类题背后的考察意图拆开讲清楚。无论你是准备投递奇安信还是想了解安全厂商对软件开发工程师的能力预期这篇内容都值得你花几分钟看完。1. 这份试卷到底在考什么真题全景与出题逻辑先说结论奇安信软件开发方向的笔试本质上考的是“具备安全意识的软件工程师”的基本盘。它不是要招一个纯粹的算法竞赛选手也不是要招一个只会写CRUD的业务码农而是要找一个能理解“软件在真实世界里会被攻击”的开发人员。整份试卷2给我的感觉是风格非常务实。题量不算夸张但覆盖面很广大致包括计算机网络、操作系统、数据结构与算法、数据库、Linux基础、安全编码等几个大块。其中安全编码和网络协议这两块明显比普通互联网公司的校招笔试题占比更高分量更重。这其实和奇安信的业务性质直接相关——作为安全厂商你的代码如果存在漏洞那不只是产品质量问题而是公司信誉和客户安全问题。从题型上看试卷2采用了比较经典的选择题单选多选、填空题、编程题和简答题的组合。选择题部分不仅考察记忆性知识更爱给一段代码或一个场景让你判断输出结果或者找出问题。这种出题方式不是在考“你背没背过”而是在考“你到底懂不懂”。让我印象很深的是试卷里反复出现对输入数据可信度的考察。比如给你一段从请求参数中取值的代码问存在什么风险或者给你一个路径拼接的片段让你判断有没有问题。这种题型背后隐藏的考察逻辑是你有没有形成“一切输入都不可信”的条件反射。在安全厂商做开发这个意识是底线要求也是日常工作的基本素养。还有一个值得注意的点是试卷2对Linux操作和命令行工具的考察比例不低。比如常见文件权限的含义、查看进程或网络连接的命令、Shell脚本的基本语法等。这想必是因为安全软件的部署环境大多是Linux服务器而且很多安全分析工具本身就是跑在Linux下的开发人员如果对Linux不熟协作效率会非常低。整体来看这份试卷的难度层级是递进的。选择题部分只要基础扎实、有实际项目经验基本不会太慌但编程题部分对代码质量、边界处理、异常情况的设计有一定的要求不是简单背一道题就能蒙混过关的。后面的简答题更是直接给一个开放性场景让你设计解决方案这种题没有标准答案考察的是思维方式和表达逻辑。所以我的建议是如果你打算投奇安信的软件开发岗不要只刷算法题至少要把计算机网络、操作系统、数据库这三块的基础知识过一遍再有意识地看一些Web安全、输入校验、文件上传、路径遍历之类的安全编码规范这样面对试卷时心里会踏实很多。1.1 核心需求解析安全厂商要什么样的开发在细聊每一类题型之前我觉得有必要先把奇安信这类安全厂商对“软件开发工程师”的期望讲清楚。只有理解了需求方要什么你才知道复习重点该放在哪里。安全厂商开发的软件往往部署在客户的核心业务环境里。以奇安信的天擎终端安全管理产品为例它要在成千上万台终端上稳定运行既要保证功能正常又要在被恶意软件对抗的环境下保证自身不被攻破。这就对开发人员提出了三个层面的要求。第一个层面是扎实的工程基础。C/C、Java、Python至少精通一门数据结构和算法要能写能调进程、线程、内存、网络这些底层概念不能含糊。安全软件往往是常驻进程需要考虑资源占用、稳定性、兼容性问题这些都需要扎实的系统编程功底。第二个层面是强烈的安全意识。普通业务软件的开发人员可能写完一个功能测试通过就完事了但安全厂商的开发人员必须多问一句如果这个接口被恶意调用会怎样如果这个参数被篡改会怎样如果用户上传了一个精心构造的文件会怎样这份试卷里大量安全编码题就是在筛选具备这种思维习惯的人。第三个层面是快速学习能力。安全领域技术更新极快今天还在用某个框架明天可能就爆出新漏洞要升级改造。笔试只是一个入口面试官更想看到的是你有没有持续学习的技术热情以及面对未知问题时能不能快速定位和解决。如果你拿这三个层面去对照试卷的题目分布会发现每道题都有它存在的理由几乎没有一道是纯粹的凑数题。这也是我复盘完这套试卷后最大的感触大厂笔试很多题考完就忘但这套卷子里的题目指向性非常明确就是在筛选“能直接上手做安全产品开发”的人。1.2 题型分布与时间分配建议试卷2的题型分布大概是这样的比例计算机基础选择题网络、操作系统、数据库占大头大约百分之四十安全编码相关题目占百分之三十算法与编程题占百分之二十剩下的是Linux基础和一些开放性的设计问答题。这个分布意味着如果你按照传统互联网公司笔试的复习路子来只刷LeetCode大概率会栽在安全编码题上。安全编码题的考察方式通常不是让你攻击系统而是分析一段代码的风险点或者从几个选项中选出正确的修复方案。这种题靠死记硬背很难命中需要你真正理解漏洞产生的原理。我在做这套卷子的时候给自己定的时间分配是这样的选择题和填空题控制在五十分钟内完成编程题留四十分钟最后三十分钟给简答题。选择题里遇到拿不准的不要恋战先标记跳过等所有题做完再回头思考因为后面简答题的分值更高思路顺畅的时候写起来效率也更高。关于时间分配还想多说一句编程题不要一上来就写最优解。先写一个暴力解法把思路跑通再逐步优化到能够通过复杂度的版本比憋半天想一个最优解最后没写完要好得多。笔试平台一般会给出部分通过用例的得分哪怕只跑了暴力解也能拿到一部分分数。2. 基础功底大摸底网络、并发与内存的那些必考题如果说安全编码是这份试卷的“特色菜”那计算机基础知识就是“基础主食”。这部分题目的特点是考得很细尤其偏爱那些“你以为你懂了但实际没完全懂”的知识点。下面我挑几类高频考点详细说一说。2.1 网络协议高频考点TCP三次握手与HTTP状态码的进阶问法网络协议部分TCP三次握手几乎是必考的但奇安信试卷的考法不落俗套。它不太可能直接问“三次握手的过程是什么”而是更喜欢给一个异常场景让你分析。比如服务端的半连接队列满了会发生什么SYN Flood攻击为什么能生效或者抓包看到大量SYN_RECV状态意味着什么。这类题目的背后逻辑实际上是将网络协议的知识与安全攻击手法联系起来。SYN Flood利用的是TCP三次握手的半连接机制通过发送大量SYN包但不完成握手耗尽服务端的半连接队列。如果你只是机械地记住三次握手有SYN、SYNACK、ACK三个步骤遇到这种题就会无从下手。但如果你真正理解了握手过程中服务端资源是在收到SYN时就分配的、以及超时重传机制的存在就能自然推导出“大量不完整的握手请求会拖垮服务端”这个结论。HTTP协议同样是高频考点但试卷更关注的是状态码语义、请求头的作用以及常见的Web攻击手法。比如403和401的区别是什么Cookie和Session的关联与区别HTTP和HTTPS在传输安全上的差异。奇安信作为安全厂商对HTTPS、TLS握手过程、证书信任链这些知识点的考察优先级明显高于普通互联网公司。我建议复习的时候重点看TLS握手过程包括对称加密与非对称加密在握手过程中的配合使用、证书链的验证逻辑、以及常见的TLS配置问题。另外一个容易忽略的考点是HTTP请求走私和请求头注入。这类题目会给你一段服务端代码问你客户端可以如何构造请求绕过限制或者如何让服务器解析出和客户端不一致的请求。这类题目对日常写业务代码的人来说可能比较陌生但对于安全产品开发而言理解协议解析的差异是基本功因为很多WAFWeb应用防火墙产品本质上就是在协议解析层做文章。2.2 并发与线程锁、死锁与线程安全的代码判断并发编程在软件开发岗笔试题里出现的频率一直很高奇安信试卷也不例外。常见的考察形式是给你一段多线程代码问你输出结果是什么、存在什么问题、应该如何修复。这类题的目的很明确就是考察你对线程安全、锁机制、内存模型的理解深度。有几类必考点你务必要掌握。第一类是synchronized和Lock的区别包括可重入性、可中断性、公平性、以及锁的底层实现机制。第二类是死锁的产生条件和排查方法。死锁的产生需要满足互斥、持有并等待、不可剥夺、循环等待四个条件笔试中看到多个线程互相持有对方需要的锁基本就可以判定死锁风险。第三类是volatile关键字的作用和局限性要清楚它保证可见性但不保证原子性所以像count这种操作即使用volatile修饰依然不是线程安全的。代码判断类的题目试卷通常会设计一些看似正确实则有问题的小陷阱。比如双重检查锁单例模式中如果没有把实例变量声明为volatile会因为指令重排导致拿到未初始化完成的对象。这种题如果只是背过“双重检查锁要加volatile”而不理解为什么换一种写法考察可能就会出错。我建议你在复习的时候把所有常见的单例写法都自己写一遍然后分析每种写法的线程安全性这样印象会深刻很多。还有一些题目会考线程池的参数配置和任务执行策略。比如核心线程数、最大线程数、阻塞队列容量之间的关系当任务数超过队列容量时会发生什么。这也和安全场景有关因为安全产品的很多功能模块是异步处理的比如日志收集、告警推送、病毒查杀任务调度线程池配置不合理在高负载场景下很容易出问题。2.3 内存管理从堆栈分配到内存泄漏排查C/C相关的岗位方向在试卷里会涉及更底层的内存题目但Java方向的试卷也会有内存相关的题目只是侧重不同。简单说Java方向更偏向JVM内存结构和GC机制C/C方向更偏向指针、堆栈、以及内存泄漏的检测。如果你投的是Java方向建议重点掌握这几个点堆内存和栈内存的区别、新生代和老年代的划分、常见的GC算法、以及何时触发Full GC。奇安信笔试中曾经出现过结合生产场景的问题比如一个服务频繁Full GC服务器的CPU使用率飙升你如何排查。这种题虽然开放性强但答题逻辑是固定的先看GC日志确认GC频率和耗时再用jstat、jmap等工具分析堆内存使用情况找到占用内存最多的对象最后结合代码定位到具体的创建位置。如果你投的是C/C方向指针和内存分配是重中之重。函数栈帧的布局、堆内存的分配释放、悬空指针和野指针的区别、内存泄漏的常见场景这些都需要烂熟于心。奇安信的安全产品很多核心模块采用C实现对内存管理能力的要求非常高因为这类产品追求性能和稳定性一个内存泄漏在长期运行的终端上会造成严重问题。内存相关的题目通常会结合代码片段考察比如给一段使用完资源后没有释放的代码问你有什么问题以及如何修改。这种题难度不高但很考验习惯。如果你平时写代码就注意RAII资源获取即初始化和智能指针的使用答这类题基本毫无压力。反之如果你平时很少关注资源释放就容易漏掉关键点。3. 安全厂商的“隐藏关卡”安全编码与漏洞思维接下来重点聊这套试卷最有辨识度的部分——安全编码相关的内容。这一部分在我做过的所有校招笔试题里都属于比例相当高的也从侧面说明奇安信对开发者安全素养的重视程度。3.1 输入验证与路径遍历一道隐藏经典的深度拆解试卷2里面有一道让我印象深刻的题考的是路径遍历漏洞这题出现在热词搜索里也被反复提及。题目会给你一段这样的代码逻辑接收客户端传入的文件名参数拼接上服务器预设的目录然后读取文件内容返回给用户。我第一次接触这道题的时候第一反应是“这不就是简单的文件读取功能吗”但仔细一想就发现问题了如果文件名参数是../../etc/passwd呢拼接出来的路径就会跳出预设目录直接读取服务器上的敏感文件。这就是经典的路径遍历漏洞本质原因是把用户输入直接用作文件路径而没有做任何合法性校验。正确的防御方式包括但不限于几种思路。第一种是最简单粗暴的过滤方式对传入的文件名做白名单校验只允许纯字母数字和指定后缀。第二种是使用规范化函数在拼接路径后先做绝对路径解析然后检查最终路径是否在预设目录内。第三种是避免拼路径直接把文件索引映射到服务器端的文件路径客户端只传一个ID而不是文件名。这道题最值得琢磨的地方在于它考察的不只是“知不知道路径遍历”而是你有没有从攻击者视角审视代码的习惯。天擎这样的产品大量功能涉及文件操作比如病毒样本收集、日志导出、补丁分发如果开发时没有路径校验意识任何一个文件读取接口都可能成为攻击入口。我后来在写代码时都会形成条件反射凡是涉及文件路径、URL跳转、SQL语句拼接的地方第一个想到的就是“这个输入是否可控、可控的话如何限制”。3.2 SQL注入与XSSWeb安全必答题的答题框架SQL注入在安全厂商笔试题里出现概率几乎百分之百。这是一种历史极为悠久但至今仍然频繁发生的漏洞类型它的核心成因是将用户输入直接拼接进SQL语句导致输入被当作SQL代码执行。试卷里常见的考察方式是这样的给你一段登录功能的代码字符串拼接了用户名和密码问你如何绕过登录或者如何修复。如果你对SQL注入有所了解就能想到通过输入 OR 11 --这种经典payload构造恒真条件。修复方案也很直接使用PreparedStatement参数化查询让SQL语句结构在编译时就固定用户输入永远只作为参数值参与执行无法改变语句结构。关于XSS跨站脚本攻击试卷更像是给你一段前端代码让你指出输出到HTML页面的用户内容存在什么风险。XSS的核心是未对用户输入做HTML转义导致恶意脚本被执行。防御的关键是区分“数据”和“代码”用户输入只能当作纯文本数据显示不能当作HTML或JavaScript解析。在服务端要对输出做编码转义在前端要尽量避免使用innerHTML直接插入用户内容优先使用textContent。我在复盘这些安全编码题的时候发现它们其实有一个共同的分析框架识别不可信输入、追踪数据流向、判断是否进入危险函数。不管是SQL注入、XSS、命令注入还是路径遍历都是不可信数据到达了危险执行点。你只要建立这个思维框架遇到任何安全编码题都不会完全没思路至少可以判断题目的考察方向。3.3 代码审计视角像攻击者一样阅读代码试卷里安全编码题的另一个特色是给出一段看似正常的代码让你找问题。这类题目考的不只是知识面更是代码审计的基本功。想做好这类题你需要培养像攻击者一样阅读代码的习惯。具体来说我会按这个顺序审视一段代码首先看数据入口代码从哪些地方获取外部输入比如请求参数、文件内容、网络数据包然后追踪数据的流向看它经过了哪些处理有没有被过滤或转义最后看数据出口也就是危险函数的位置SQL执行、命令执行、HTML输出、文件写入、反序列化都是重点关注对象。有一次刷题时遇到一个很有意思的代码片段功能是把上传的文件名拼接到tar命令中执行。出题人故意在代码里做了层层过滤比如过滤了空格和分号看起来似乎安全但实际上只要换个思路利用IFS环境变量代替空格命令注入依然可以成立。这种题目如果你只是套过滤规则很容易掉坑但如果你理解命令注入的本质是“shell会解析特殊字符”就能跳出题目设置的迷惑找到绕过路径。代码审计相关的题目是最难临时抱佛脚的它需要你在平时写代码时就有意识地思考安全问题。我的建议是复习阶段可以多看看OWASP Top 10的经典漏洞类型每个漏洞找两个真实的CVE案例读一读明白漏洞是怎么被发现和利用的。这样不仅对笔试有帮助对面试中聊项目经历也很有价值。4. 算法与编程题从暴力解到满分答案的进化路径聊完特色内容再回到传统考项——算法与编程题。奇安信的编程题难度整体属于中等偏上不会像一线大厂那样出超难的动态规划压轴题但非常注重实际场景和边界条件。题干通常会给一个偏工程化的描述需要你从问题描述中抽象出算法模型。4.1 一道典型的拓扑排序题课程表问题变形我印象中试卷2里有一个题和“课程表”问题很相似要求判断给定的课程依赖关系是否存在循环依赖。这个题的场景设定和软件开发中的依赖解析非常贴近比如模块加载依赖、Maven包依赖、编译顺序确定等因此很有安全厂商产品的实际风格。拓扑排序的核心思路是每次从图中取出一个入度为0的节点移除它以及它出发的所有边重复这个过程如果最终能取出所有节点则无环否则存在环。在实现上通常使用邻接表存储图结构配合一个队列维护入度为0的节点集合再用一个数组记录每个节点的入度。时间复杂度是O(VE)这里的V是节点数E是边数。代码实现并不复杂核心步骤如下// 以C为例的拓扑排序判断有环 class Solution { public: bool canFinish(int numCourses, vectorvectorint prerequisites) { vectorvectorint graph(numCourses); vectorint indegree(numCourses, 0); for (auto p : prerequisites) { graph[p[1]].push_back(p[0]); indegree[p[0]]; } queueint q; for (int i 0; i numCourses; i) { if (indegree[i] 0) q.push(i); } int visited 0; while (!q.empty()) { int cur q.front(); q.pop(); visited; for (int next : graph[cur]) { indegree[next]--; if (indegree[next] 0) q.push(next); } } return visited numCourses; } };很多人在笔试时容易忽略的一个点是输入数据中可能存在重复的依赖关系。比如[[1,0],[1,0]]如果代码不处理入度会被重复计算可能导致结果为有环。考试时也许不会专门为难你但如果你在代码里做了去重处理这就会成为体现工程素养的加分项。4.2 实现LRU缓存手写一个系统级组件另一道比较有代表性的编程题是实现LRU缓存。LRULeast Recently Used最近最少使用是一种非常经典的缓存淘汰策略在安全产品中也有实际应用比如病毒库的本地缓存、扫描结果的临时存储等因此这道题出现的频率很高。LRU的标准实现是哈希表加双向链表。哈希表负责O(1)时间定位节点双向链表维护访问顺序最近访问的节点放到头部容量超限时删除尾部节点。get操作时若命中需要把节点移动到头部put操作时若关键字已存在更新值并移到头部否则在头部插入新节点并检查是否超容量超了则删除尾部节点。这个题考察的核心不只是“会不会写链表”而是几个细节处理能力。比如头尾节点的虚节点设计能不能简化边界判断节点移动时指针操作是否准确以及哈希表存储的内容是链表节点的指针还是迭代器。我见过不少人在手写双向链表时因为忘记更新尾节点指针而出错笔试环境没有调试器这种低级错误非常伤。# Python版LRU适合当笔试模板记忆 from collections import OrderedDict class LRUCache: def __init__(self, capacity): self.capacity capacity self.cache OrderedDict() def get(self, key): if key in self.cache: self.cache.move_to_end(key) return self.cache[key] return -1 def put(self, key, value): if key in self.cache: self.cache.move_to_end(key) self.cache[key] value if len(self.cache) self.capacity: self.cache.popitem(lastFalse)如果笔试平台支持Python用OrderedDict实现最省时间。但如果岗位对C要求高建议仍然熟练掌握手写双向链表的版本。面试中如果聊到这个题手写链表版本会更显得功底扎实。4.3 笔试题的边界思维分数藏在细节里编程题的得分点往往不只是“最终结果是否正确”还包括是否考虑了边界条件、是否处理了异常输入、代码是否有良好的可读性。很多同学做题时一看到样例通过就提交结果后面隐藏的测试用例全挂这种情况非常可惜。具体来说边界条件通常包括这几类空输入、只有一个元素的输入、极端大数导致的溢出、输入中包含非法字符、以及题目没有明确说明但实际存在的隐含条件。比如设计一个字符串解析函数如果没有规定输入长度上限是否要考虑超长字符串带来的内存爆炸风险如果输入中包含不可见字符是否做了处理另外一个技巧是拿到题目先不要急着写代码花两分钟在草稿纸上把题目的输入输出约束、时间空间复杂度要求、边界情况列表写清楚。这个习惯看起来耽误时间实际能显著降低编码过程中的返工概率。我在笔试中发现凡是认真列过边界情况的题目通过率都会高很多。5. 笔试实战避坑手册环境、时间分配与从面试官视角看答题最后这部分聊聊试卷以外的实战经验。一套笔试题做得好不好除了知识储备答题策略和考场心态同样重要。这些都是我踩过坑之后总结的经验希望能帮你少走弯路。5.1 在线笔试平台的操作要点奇安信的笔试通常使用第三方在线评测系统这类系统一般支持代码自动判题但不同题目对编程语言的版本支持不同。进考场后第一件事是确认每道编程题支持的语言版本别等写完代码提交了才发现编译器版本不支持某个语法特性。在线评测系统的输入输出处理也值得注意。有些题目要求从标准输入读取多行数据有些要求从指定文件读取还有些题目有多个测试用例需要循环处理。处理不好输入输出格式哪怕算法逻辑完全正确也会判错。我建议提前熟悉评测系统的示例格式如果允许本地调试先用示例数据跑通再提交。笔试过程中不要关闭浏览器标签页或者切换得太频繁有些系统会检测切屏行为次数过多可能会被判定为作弊。虽然正常查看本地代码不会误判但如果确实需要查询资料先评估一下风险。5.2 时间分配和答题顺序的策略我的建议是按分值比例分配时间先做分值高的题目。编程题虽然单题分高但耗时也长如果把它放在最后又没写完会非常影响总分。合理的策略是先用半小时快速扫一遍所有题目标记出会做和不会做的会做的优先拿下不会做的先放着。选择题遇到拿不准的不要在一道题上死磕超过两分钟。这些题往往考察的是记忆性知识点纠结太久也想不起来。先凭直觉选一个标记起来等其他题目完成后再回来结合全卷信息做判断。有时候后面的题目会给你提示帮助你回忆起之前不确定的知识点。简答题和设计题是最容易拉开分差的环节。这类题目通常没有标准答案阅卷人看的是你能不能自圆其说、逻辑是否清晰。我的经验是用“总—分—总”的结构组织答案先给出结论或方案概览再分点展开理由和细节最后简单总结。每个点都尽量结合一个具体的例子说明这样既显得有实战经验又能扩展篇幅展示思考深度。5.3 从面试官视角反推考察意图我在准备很多面试之后发现一个通用方法论不要只站在考生角度“解题”要尝试站在出题人角度思考“这个人想在试卷里看到什么能力”。奇安信的笔试题目设计者想通过这套卷子找到的人大概率具备三个特征。第一个特征是基础扎实。很多公司校招其实并不指望应届生入职就能干活而是看重基础是否扎实、能不能快速学习。所以基础题做得好的人通常更容易进入后续面试环节。第二个特征是安全敏感度。安全厂商的软件开发者如果自身没有安全意识代码质量会埋下巨大隐患。卷子里大量安全编码题的目的就是筛选出具备这种敏感度的人。你在复习时不要只背漏洞定义要理解漏洞产生的上下文尝试站在攻击者角度思考。第三个特征是工程思维。笔试题里那些看似和算法无关的边界条件、异常处理细节其实都在考察工程能力。能注意到这些细节的人通常在工作中也会更靠谱。5.4 复习建议与常考资源清单临近笔试前建议按以下清单做最后的查漏补缺。第一计算机网络重点看TCP/UDP、HTTP/HTTPS、DNS以及常见的Web攻击手法。第二操作系统重点看进程线程模型、死锁条件、内存分配、文件系统。第三数据库重点看索引原理、事务隔离级别、SQL注入与参数化查询。第四数据结构和算法重点看链表、哈希表、二叉树、拓扑排序、LRU、快排及变种。安全编码相关的知识可以尝试在技术社区搜索奇安信官方发布的开发安全规范类材料这类资料一般会覆盖常见漏洞类型、代码示例和修复建议。另外奇安信的代码卫士产品是集团公司内部使用的静态代码分析工具虽然不对外提供下载但它的功能定位是帮开发人员发现代码中的安全缺陷了解这类工具的检测规则也能反向帮助你理解试卷中安全编码题的出题点。如果时间充裕可以去牛客网搜一下往年网友分享的奇安信笔试真题回忆虽然不成体系但能帮助你掌握出题风格和部分高频考点。再配合LeetCode的Top Liked题目刷一刷保持算法手感整体准备就差不多了。我个人在实际操作中的体会是这套试卷最难的其实不是某一道题而是如何在有限时间内稳定输出。知识储备决定你的上限答题策略和心态决定你的下限。把基础打牢、把安全思维刻进脑子、再在考场上稳住节奏奇安信软件开发方向的笔试并没有想象中那么可怕。