面试了不少网安应届生,我发现很多人简历从第一步就写错了

这一个月，我虽然大部分时间都在做安全保障，但因为团队和后续新项目的需求，也同步面试了一些人，收到了不少应届生的简历，简历看多了以后，我发现一个问题很明显：“很多同学不是完全没东西写，而是不知道企业到底想从简历里看什么。”

有些简历，技能栏写得很满，Burp Suite、Nmap、SQLMap、AWVS、MSF，各类工具列了一排，后面再跟一句“熟悉常见Web漏洞，掌握SQL注入、XSS、文件上传等漏洞原理”。看起来会得很多，但真正面试时或者面试前沟通时，我只要继续问一句：“你最近实际用这些东西做过什么？”，很多人就开始卡住。有人说打过靶场，有人说学校学过，还有人说跟着教程做过，然后就没有下文了。

这些经历并不是没用，问题在于，如果简历里只有一句“熟悉某工具”，招聘的人根本判断不了你到底会到什么程度。

 还有一种情况，比没项目更危险

有些同学知道自己项目经历少，于是开始“包装”，简历里写着：“参加过某次安全保障，负责安全监测、告警分析、攻击研判和应急处置。”

如果只看简历，这段经历已经比较完整，但面试时，我通常不会一上来问很偏的技术问题，只会先问几个很基础的问题：你当时具体负责什么？现场每天的流程是什么？发现告警以后怎么处理？后续跟进的点么？什么情况需要升级？怎么判断攻击有没有成功？

结果有些人连基本流程都说不清楚，致使面试官认为你的项目经历就是造假。应届生没有商业项目，很正常，真正容易出问题的是，简历写得像做过很多项目，实际一问什么都讲不出来。

企业对刚毕业的学生，本来就不会要求你独立主导大型项目，所以不用为了让简历“看起来厉害”，硬塞一些自己没有真正做过的经历，你可以没项目，但写进去的东西，最好自己真的做过。

没有项目经历，简历到底写什么？

如果让我看一份应届生简历，我更关注的是，你有没有完整做过一件事情，哪怕只是一次个人练习。记住，是“完整”。

比如前段时间我自己折腾了一套AI安全工具ARTEX，如果简历只写：熟悉ARTEX安装与使用，这句话几乎没有信息量。

如果改成：在Linux环境完成ARTEX部署，结合AI生成自动化安装脚本，处理依赖和服务启动问题，最终完成环境搭建并验证功能。

信息就完全不一样了，招聘的人至少能继续判断几个问题：你有没有Linux基础？AI生成的脚本有没有自己验证？遇到问题后怎么处理？环境装好以后，有没有真正使用？

如果后面还做过测试，可以继续补充： 部署完成后搭建测试环境，对资产发现、任务执行等功能进行验证，并整理安装记录和问题处理过程，这时候，这件事情已经不只是“装了一个工具”，它开始变成一段可以写进简历、也可以在面试中展开的经历。

所以，这个过程中，哪怕是个人练习，最重要的是做完整。很多学生不是没练习，而是每次都只做到一半，比如学SQL注入。找个靶场，用SQLMap跑一下，数据库出来了，然后结束，最后简历写一句：熟悉SQL注入漏洞利用。

这种经历很难支撑面试，完全可以再往后多做几步。先弄明白漏洞为什么产生，手工验证一次，再用工具辅助。做完以后把请求、参数、判断依据和结果整理下来。最后再想一个问题：如果这是企业真实系统，我应该怎么告诉客户这个问题？怎么证明风险？怎么给出修复建议？

做到这里，一次普通练习才开始接近企业真实做事的逻辑，我现在看新人，会比较关注一个能力：拿到一件事情以后，能不能完整做下来。

不要求你一开始就做多复杂，但至少要能说清楚目标是什么、你做了什么、遇到了什么问题、最后结果怎么样。

别拿一套“大厂简历模板”投所有公司

这也是最近面试时感受比较明显的一点，很多同学看了大量大厂求职攻略，于是简历里开始堆技术栈、竞赛、证书、八股。

这些东西不是没用，但你首先要知道：你投的是什么岗位，什么公司。

大公司的岗位通常分得比较细，做安全运营，可能主要看运营；做渗透测试，会更关注漏洞分析和实战；做安全开发，则会看开发基础。

小公司的逻辑往往不完全一样，招一个新人，会考虑一个很现实的问题：项目来了以后，这个人能不能快速参与？比如做一次风险评估，可能要整理资产、访谈、技术测试、写报告。做保障项目，还要看告警、整理数据、协助分析。现场遇到新的产品和设备，也需要自己查资料、快速学习。

很多人经常会出现这种情况，明明在大厂实习过，简历也很牛，但是面试的时候，就是被刷，甚至心理会想，你个小公司，凭什么不要我。核原因，就在于没有做好清晰的认知区分。

所以投简历前，不要只看“别人怎么写”，先看JD，再问自己：这个岗位最希望我证明什么？我的简历有没有东西能证明？没有，就去补。

简历里的每一句话，都准备好被追问

这个习惯很重要，你写熟悉Burp Suite，那你至少要能讲清楚，平时怎么用，最近一次用在什么场景；你写参加过安全保障，那就应该知道自己负责什么，每天做什么，遇到过什么告警，最后怎么处理，很多人认为，保障只需要看监控就行，实际远远不够。

所以我一直建议应届生：不要急着把简历写得特别厉害，先保证写进去的内容，能经得住别人继续往下问，哪怕你只有两三个练习，只要每个都能讲清楚，实际效果往往比写一堆“精通、熟悉、掌握”更好。

如果现在什么项目都没有，就从一件小事开始

如果你的简历现在确实没有项目，也不用焦虑，找一个方向，先完整做一件事情。

可以部署一套开源安全平台，也可以做一个Web靶场测试，还可以对自己的服务器做一次资产梳理，或者用AI辅助完成一次工具安装和排障，做完以后，不要只留几张截图，把过程整理下来。一定要弄清楚自己做了什么、遇到了什么问题、怎么解决、最后结果怎么样。

这些内容可以写成博客，可以放到GitHub，也可以整理成简历中的项目经历，到了面试现场，这还会成为你最熟悉的一段内容，因为它确实是你自己做出来的。

简历不是写出来的，是做出来的

最近我也准备把这一类内容继续整理下去，一方面是因为团队确实在招人，最近看了不少应届生简历；另一方面，我越来越明显地感觉到，学生和企业之间还存在很大的信息差，很多学生不知道企业到底在看什么，也不知道自己现在做的练习，怎么变成真正能证明能力的东西。

所以接下来我会建一个交流群，群里我更想做的，是帮大家看看：哪些东西可以写进简历，哪些还需要补，写进去以后面试官又可能继续问什么。

后面的公开课里，我也会专门讲应届生就业、AI时代下的能力培养，以及职业方向应该怎么选。

进群二维码，大家可以关注“网安老油条”这个公众号，输入“交流群”三个字，会有进群二维码弹出。