内容摘要：```html 2023年秋招，我一个学弟拿了三个Offer：某大厂安全岗、某银行科技部、某国企信息中心。他最后选了银行，理由不是钱多，是怕大厂“优化”。这事放五年前没人信——网络安全专业的学生，当年

```html

2023年秋招，网络我一个学弟拿了三个Offer：某大厂安全岗、安全某银行科技部、专业某国企信息中心。业前他最后选了银行，网络理由不是安全钱多，是专业怕大厂“优化”。这事放五年前没人信——网络安全专业的业前学生，当年是网络挑公司，不是安全被公司挑。

现在的专业行情变了，但没完全变。业前缺口还在，网络只是安全门槛在挪。

先看数据。专业工信部去年说网络安全人才缺口327万，这个数字喊了好几年，没怎么降。但你去招聘网站搜“渗透测试”，会发现很多岗位挂了半年不关，点进去一看，要求写着“3-5年经验，能独立完成红队项目”。应届生？简历关都过不去。缺口大和好找工作，中间隔着一道叫“实战能力”的墙。

我认识一个做HR的朋友，她筛安全岗简历有个土办法：看有没有CVE编号、看GitHub提交记录、看有没有在FreeBuf或先知社区发过文章。学历？本科就行。这行认手艺，不认出身。

那到底哪些方向在招人？我观察下来，三类最实在。

第一类，合规与等保。听起来无聊，但岗位多。金融、医疗、政务，每年要过等保测评，要招人写材料、做整改。这类岗不要求你会挖漏洞，但要懂GB/T 22239，要能跟业务部门吵架。适合性格稳、坐得住的人。起薪不高，8k-12k，但胜在稳定，甲方居多。

第二类，安全运营。就是看告警、研判、应急响应。SOC里三班倒，累，但成长快。干两年，你见过几百种攻击手法，跳槽去甲方安全部或者乙方安服，都有人要。我见过一个专科生，在奇安信做了三年运营，后来被一家券商挖走，年薪开到35万。他说秘诀就一条：每次应急都写复盘，攒了200多篇。

第三类，渗透测试与红队。最卷，也最看天赋。有人自学两年就能拿CNVD证书，有人培训完还是只会用BurpSuite点按钮。这行面试直接给你个靶场，限时拿shell，拿不到就挂。薪资两极分化：厉害的应届生能拿30万+，普通的可能连工作都找不到。

有个现象挺有意思。以前安全岗集中在北上广深，现在成都、西安、武汉也冒出不少。原因是很多乙方公司在这些城市设了交付中心，成本低，人也好招。我有个前同事从北京回成都，降薪20%，但房租从4500降到1500，算下来反而攒得多。

给在读学生说几句实在的。别光上课，那点理论不够用。去打CTF，去挖SRC，去GitHub找开源项目读代码。我见过最聪明的做法，是一个大二学生把学校教务系统漏洞挖了，然后写了份报告交给信息中心，后来直接去那里实习。胆大心细，这行要的就是这种人。

还有，别死磕大厂。安全岗在大厂是成本部门，不是利润中心，裁员时首当其冲。反而是一些做安全产品的乙方公司，或者有牌照的测评机构，虽然名字不响亮，但业务稳定，能学到东西。我认识一个在测评机构干了五年的，现在自己接等保项目，一年到手七八十万，比很多大厂P7舒服。

最后说个扎心的。网络安全这行，技术更新太快。今天会挖Log4j2，明天可能就出个新组件漏洞。持续学习不是口号，是生存需要。我见过35岁被裁的，也见过40岁还在做红队队长的。区别不在于年龄，在于你去年学了什么新东西。

这行没有“越老越吃香”，只有“越老越要证明自己还在一线”。想清楚这点，再决定要不要入行。

```