安全开发工程师(J10454)

1.结合业务架构与安全风险，识别现有防护能力的缺口，调研云原生安全服务、开源及商业安全产品，开展技术选型与 PoC 验证，对比防护效果、误报漏报、性能影响、集成难度和使用成本，形成选型建议与落地方案。

2.承担安全平台、工具及防护模块的核心开发，按业务需要建设应用与 API 防护、风险识别、主机安全、漏洞检测或研发安全等能力，形成可复用的服务、接口或组件。

3.负责所承担产品或模块的完整生命周期，包括需求分析、架构设计、编码测试、部署上线、运行维护及持续迭代，完成与业务系统和现有安全工具的集成。

4.建设安全数据采集、处理、检测与处置链路，开发检测规则和自动化响应能力，结合真实风险案例验证效果，持续优化误报、漏报及处置效率。

5.保障安全服务的稳定性与性能，完善监控告警、日志、灰度发布、故障降级及回滚机制，排查线上异常，控制安全能力对业务可用性和响应性能的影响。

6.使用 AI 辅助编码、测试、规则开发及安全数据分析，核验输出质量；结合实际场景探索 AI 与安全工具的集成，验证效果并遵守代码和业务数据的使用要求。

7.与安全测试、研发及运维团队协作，将漏洞发现、攻击分析和事件复盘结果转化为检测规则、防护策略与工具能力，跟踪上线效果并持续改进。

8.沉淀技术文档、接入规范和使用案例，帮助使用方理解并接入安全能力，推动工具在实际业务中持续使用。

9.结合阿里云环境梳理身份权限、网络访问、主机与容器、数据保护及审计方面的风险，推进云上安全服务的接入、策略配置与效果验证，通过 API、SDK 或日志接口与自建平台集成。

1.4 年及以上软件开发、安全开发或相关工作经验，具备安全产品或平台的核心开发经历，能够独立负责至少一款安全产品或一个完整安全模块的全生命周期；技术能力突出者可适当放宽年限要求。

2.熟练掌握 Java、Go、Python 等至少一门编程语言，具备扎实的后端开发能力，能够独立完成方案设计、核心编码、测试及问题排查，并说明本人承担的具体技术工作。

3.具备应用安全、API 安全、主机安全、业务风控或研发安全等至少一个方向的实践，理解相关攻击原理与防护机制，能够将安全问题转化为可实现、可验证的技术方案。

4.熟悉常用数据库、缓存、消息队列及接口设计，具备数据处理、系统集成和服务开发经验，能够结合业务规模合理选择技术方案。

5.熟悉 Linux、网络协议及常见应用部署方式，具备生产环境交付经验，能够独立定位和处理服务异常、性能瓶颈、依赖故障及数据异常等问题。

6.具备工程质量意识，能够通过测试、监控和发布机制保障交付质量；设计防护与自动化处置能力时，能够考虑误报影响、权限控制、操作审计和故障恢复。

7.能够使用 AI 辅助开发与分析，独立审查生成的代码、规则和结论，通过测试及实际数据验证结果，理解代码和业务数据的使用边界。

8.具备独立分析问题和推进落地的能力，能够识别需求与接入中的关键障碍，提出可执行的解决方案，并通过运行数据和实际使用情况验证交付效果。

9.熟悉阿里云原生安全的基本架构与责任共担边界，理解 RAM 权限与角色、安全组及网络隔离、云资源安全配置、密钥管理和日志审计等机制；了解云安全中心、云防火墙、WAF 等安全服务的适用场景与能力边界，具备相关配置、接入或排查经验。

10.具备安全产品调研和验证能力，能够从业务风险出发设计 PoC 用例，独立搭建验证环境、分析测试结果，判断产品适用性及局限，提出自研、采购或组合使用的建议，并推进实际接入。

优先条件

1.独立设计、开发并持续维护过线上安全产品，能够说明从需求到上线迭代的个人贡献，以及防护效果、运行质量和业务接入情况。

2.具有 WAF、RASP、IAST、主机安全、欺骗防御、风控引擎、安全运营平台或漏洞管理平台等产品的核心开发经验。

3.具有高并发安全服务、实时检测链路或大规模安全数据处理经验，能够解决性能、稳定性及误报治理问题。

4.具有开源安全工具二次开发、插件开发或安全能力服务化经验，推动过工具在多个业务系统中复用。

5.具有 AI 安全工具开发、AI 辅助研判或自动化处置实践，能够说明效果评估及人工复核机制。

6.具有云环境、容器、多租户 SaaS 的安全能力建设经验，或具有可展示的安全开源项目与技术成果。

7.具有阿里云安全服务的选型、部署与持续优化经验，能够结合云上日志、告警和资产信息实现检测分析、策略联动或自动化处置。