去年帮一个朋友筛简历，渗试简岗位是透测Web渗透测试。两周收到四百多份，渗试简最后进面试的透测只有七个。剩下那三百多份，渗试简问题出奇地一致——不是透测技术不行，是渗试简简历写得让人看不出技术行不行。

有个候选人写了“精通OWASP Top 10”。透测我问面试官朋友，渗试简这行字能说明什么？透测他说什么都说明不了。漏洞原理、渗试简利用方式、透测绕过技巧、渗试简修复建议，透测这四层里他到底在哪一层？渗试简没人知道。后来这人被刷了，简历上没有任何一个具体漏洞的实操记录。

渗透测试这行有个特点：你说你会什么，面试官大概率会让你现场讲。讲SQL注入，他会追问报错注入和盲注的适用场景区别；讲文件上传，他会问你怎么绕WAF的Content-Type检测。简历上写“熟悉”两个字，面试时得用二十分钟来证明。写不清楚，不如不写。

项目经历比证书值钱

OSCP、CISP-PTE这些证书有用，但它们的作用是敲门。真正让面试官停下来细看的，是项目经历那一栏。我看过一份简历，这人写的是：“对某电商平台测试时发现订单查询接口存在越权，通过修改order_id可遍历全站订单，涉及用户手机号、收货地址等敏感信息。”就这一句话，信息量比十行“熟练掌握Burp Suite”都大。

他把漏洞类型、发现过程、影响范围全说清楚了。面试官一看就知道这人真干过活。后来这人进了终面，聊了四十分钟，据说现场还画了利用链的时序图。

另一个常见问题是工具罗列。写一堆“Burp、SQLMap、Nmap、Metasploit、AWVS”，然后呢？工具是死的。面试官想知道的是你用SQLMap时有没有手写过tamper脚本，用Burp时有没有自己写过插件。哪怕你说“用Burp的Intruder跑过一万条payload，后来嫌慢改用Python脚本多线程发包”，这也比干巴巴列工具名强。

漏洞理解要落到细节

有个简历我印象很深。他在“漏洞理解”部分写了SSRF。没写“熟悉SSRF漏洞原理及利用”，而是写：“SSRF打内网时，如果目标不出网，可以用Gopher协议打Redis写Webshell，但需要目标支持Gopher且Redis未授权。如果Redis有密码，可以尝试用Dict协议探测端口。”这段话暴露了他的真实水平——他知道利用条件，知道协议差异，知道失败后的备选方案。

这种细节骗不了人。没踩过坑的人写不出来。面试官看到这种描述，基本会默认这人实战经验不少于两年。

反过来，有人写“熟悉XSS漏洞”，面试官问“反射型和存储型在利用上的核心区别是什么”，答“一个需要点击，一个不需要”。这个回答不算错，但太浅了。真正做过的人会提到：存储型XSS的payload持久化在数据库，可能影响所有访问该页面的用户，而且经常出现在后台管理界面，打管理员Cookie的收益远高于打普通用户。这些才是简历上该体现的思考深度。

简历排版别搞花活

见过用Canva做的那种彩色简历，两栏布局，左边放技能条——就是那种“SQL注入：85%”的进度条。说实话，渗透测试岗的面试官看到这种基本直接翻页。这行讲究的是严谨和可验证，进度条这种东西没法验证，反而显得不专业。

一页A4，白底黑字，模块清晰。个人信息、技能栈、项目经历、漏洞理解、证书。项目经历按时间倒序，每个项目三到五行，写清楚：目标类型、测试范围、发现的漏洞、利用方式、最终成果。有SRC排名或CVE编号的直接放最前面，那是硬通货。

最后说个观察。很多简历写“负责XX系统的渗透测试”，然后没了。负责什么？测出什么了？修复建议是什么？客户反馈如何？这些才是区分“参与过”和“搞定过”的关键。渗透测试的本质是解决问题，简历要证明你有解决问题的能力，而不是证明你见过这个问题。