应用安全工程师（27届校招）(J12088)

安全开发流程（SDL/DevSecOps）建设与落地 协助建立并推广安全开发生命周期（SDL）流程，推动安全活动在需求评审、架构设计、代码编写、测试、上线发布各阶段落地。 参与在研项目的安全评审，从应用安全角度输出风险评估意见与安全改造方案。

代码安全审计与漏洞挖掘 对自主研发的应用系统、内部IT系统及业务平台开展白盒代码审计与黑盒渗透测试，挖掘SQL注入、XSS、CSRF、文件上传、越权等常见Web安全漏洞。 输出漏洞报告，给出可落地的修复建议，并跟踪修复闭环。

安全工具建设与运营 协助白盒（SAST）、黑盒（DAST）、交互式（IAST）、组件安全（SCA）等自动化安全工具的选型、部署及日常运营，提升漏洞检出率与修复效率。 持续优化安全工具策略，减少误报，提高自动化水平。

研发团队安全赋能 定期面向开发团队开展应用安全培训（如常见漏洞原理与防御、安全编码规范等），提升研发人员的安全编码能力。 参与制定并推广公司安全编码规范与安全设计原则。

应用安全应急响应 参与应用系统安全事件的应急响应，协助进行漏洞定位、溯源分析与应急处置。

学历与专业 2026届本科及以上学历，信息安全、网络安全、计算机科学与技术、软件工程等相关专业。

专业知识与技能 熟悉OWASP Top 10常见Web应用漏洞原理及修复方案（如SQL注入、XSS、CSRF、SSRF、文件上传漏洞、越权访问等）。 了解常见的渗透测试工具（如Burp Suite、Nmap、SQLMap等）。 至少熟练掌握一门编程语言（Java/Python/Go/C++等），具备代码阅读与分析能力，能编写自动化测试/检测脚本。 了解SDL流程与DevSecOps理念，了解SAST、DAST、IAST等自动化安全工具的原理与应用场景。 熟悉Linux操作系统基本操作与常用命令。

综合素质 具备较强的逻辑思维能力与问题分析能力，能够独立完成漏洞验证与风险评估。 良好的沟通表达能力与团队协作意识，能与开发、运维团队高效协同，推动安全措施落地。 具有主动学习和自我驱动力，持续关注应用安全前沿攻防技术。

优先条件 有CTF参赛经历，或在各大SRC平台提交过有效漏洞报告。 有信息安全相关实习经历（渗透测试、代码审计方向优先）。 持有CISP、OSCP等安全相关认证。 有个人安全技术博客或开源安全项目贡献。 了解半导体/封测行业业务系统特点者优先。