应用安全工程师（27届校招）(J12088)

职位描述

1. 安全开发流程（SDL/DevSecOps）建设与落地

协助建立并推广安全开发生命周期（SDL）流程，推动安全活动在需求评审、架构设计、代码编写、测试、上线发布各阶段落地。

参与在研项目的安全评审，从应用安全角度输出风险评估意见与安全改造方案。

2. 代码安全审计与漏洞挖掘

对自主研发的应用系统、内部IT系统及业务平台开展白盒代码审计与黑盒渗透测试，挖掘SQL注入、XSS、CSRF、文件上传、越权等常见Web安全漏洞。

输出漏洞报告，给出可落地的修复建议，并跟踪修复闭环。

3. 安全工具建设与运营

协助白盒（SAST）、黑盒（DAST）、交互式（IAST）、组件安全（SCA）等自动化安全工具的选型、部署及日常运营，提升漏洞检出率与修复效率。

持续优化安全工具策略，减少误报，提高自动化水平。

4. 研发团队安全赋能

定期面向开发团队开展应用安全培训（如常见漏洞原理与防御、安全编码规范等），提升研发人员的安全编码能力。

参与制定并推广公司安全编码规范与安全设计原则。

5. 应用安全应急响应

参与应用系统安全事件的应急响应，协助进行漏洞定位、溯源分析与应急处置。

任职要求

1. 学历与专业

2026届本科及以上学历，信息安全、网络安全、计算机科学与技术、软件工程等相关专业。

2. 专业知识与技能

熟悉OWASP Top 10常见Web应用漏洞原理及修复方案（如SQL注入、XSS、CSRF、SSRF、文件上传漏洞、越权访问等）。

了解常见的渗透测试工具（如Burp Suite、Nmap、SQLMap等）。

至少熟练掌握一门编程语言（Java/Python/Go/C++等），具备代码阅读与分析能力，能编写自动化测试/检测脚本。

了解SDL流程与DevSecOps理念，了解SAST、DAST、IAST等自动化安全工具的原理与应用场景。

熟悉Linux操作系统基本操作与常用命令。

3. 综合素质

具备较强的逻辑思维能力与问题分析能力，能够独立完成漏洞验证与风险评估。

良好的沟通表达能力与团队协作意识，能与开发、运维团队高效协同，推动安全措施落地。

具有主动学习和自我驱动力，持续关注应用安全前沿攻防技术。

4. 优先条件

有CTF参赛经历，或在各大SRC平台提交过有效漏洞报告。

有信息安全相关实习经历（渗透测试、代码审计方向优先）。

持有CISP、OSCP等安全相关认证。

有个人安全技术博客或开源安全项目贡献。

了解半导体/封测行业业务系统特点者优先。