奇安信软件开发岗笔试拆解：安全思维如何贯穿秋招试卷

每年秋招，奇安信的软件开发卷总能劝退一批人。不是题目本身难到做不出来，而是它的考法跟互联网大厂不太一样。很多同学拿着刷 LeetCode 的手感去考，结果在选择题和简答题上栽了跟头。奇安信毕竟是做安全起家的，它的软件开发岗位笔试，表面上考的是计算机基础，实际上是在筛“有没有安全思维”的开发者。这篇东西就把我对这套试卷的观察和拆解写出来，给后面准备秋招的人做个参考。

如果你是准备投奇安信软件开发岗的应届生，或者想了解安全厂商笔试跟普通互联网公司有什么区别，这篇文章值得看完。我会从试卷结构、各模块考点、典型题目思路、备赛时间线几个维度展开，也会穿插一些我在实际做题和面试里总结出来的教训。

1. 奇安信这套卷子到底在考什么

1.1 试卷结构长什么样

先说结论：奇安信软件开发方向的笔试，整体风格比字节、腾讯那种“全算法”路线要传统得多，题型更杂，覆盖面更广。以2020年秋招为例，整套卷子大致由四部分组成：选择题、简答题、编程题、场景设计或安全分析题。不同岗位方向可能略有调整，但大框架基本稳定。

我根据自己的记忆和面试交流，整理了一个大概的模块分布：

这个比例不是绝对固定，但能看出来一条主线：它不是要把你考成 ACM 选手，而是想确认你有没有扎实的计算机基础，同时有没有安全厂商特别看重的“风险意识”。换句话说，LeetCode 刷得飞起只能保证你在算法题不吃亏，前面那些选择题和简答题才是真正拉开差距的地方。

1.2 为什么安全公司要考这些

很多同学不理解，安全公司的软件开发岗，为什么笔试里不全是安全题，反而有一堆计算机网络、操作系统、数据库的内容。我一开始也有这个疑惑，后来在面试里跟面试官聊过，才想明白：安全不是凭空长出来的，它是寄生在系统、网络、应用之上的。一个开发者如果连 TCP 握手过程都说不清楚，连进程和线程的区别都含糊，那他写出来的代码即使能跑，也大概率会在边界条件、资源管理、异常处理这些地方埋雷。

安全开发的核心是“默认不安全，处处要校验”。你写的每个接口、每个文件操作、每条 SQL，都是攻击面。如果基础不牢，你连攻击面在哪里都看不见。所以这套卷子其实是在用一种很朴素的方式告诉你：想进安全厂商做开发，先证明你是合格的后端或客户端工程师，再谈安全。

2. 基础模块：网络、操作系统、数据库

2.1 网络协议题不是背一遍就行

计算机网络在选择题里几乎必考，而且考法很细。TCP 三次握手、四次挥手的状态变迁、HTTP 状态码语义、DNS 解析过程，这些都是常见考点。但奇安信的题不会只问你“三次握手是哪三次”，它会把场景揉进去。

举个例子，我印象里有一类题目是这样出的：一个客户端访问一个不存在的域名，大概经历了哪些步骤，最后浏览器报什么错。这种题表面考 DNS，实际考的是你对整个网络栈的理解。你需要在脑子里走一遍完整链路：先查浏览器缓存、 hosts 文件、本地 DNS 解析器、根服务器、顶级域服务器、权威服务器，然后才是 TCP 连接和 HTTP 请求。中间每一步失败会返回什么，报错长什么样，都是考点。

另一个高频点是 HTTP 状态码。别只记 200、404、500，像 301、302、304、401、403、502、504 这种状态码的区别和典型场景，选择题里翻来覆去地考。尤其是 301 和 302，一个是永久重定向，一个是临时重定向，涉及到浏览器缓存行为和 SEO 语义，后端开发经常会用到。如果你觉得没底，建议我把这几个状态码整理成一个表：

这种表不是让你死背，而是要能在场景里选对。比如一个接口突然从 http 跳到了 https，状态码应该是 301 还是 302？答案是 301，因为这是永久性的策略变更。再比如你访问一个接口，返回 403，但你已经登录了，说明什么？多半是角色权限不够，而不是登录失效。这些细节在选择题里很容易设置干扰项。

2.2 操作系统和并发题怎么答

操作系统模块的重点集中在进程和线程、死锁、内存管理、文件描述符。奇安信的题里，进程与线程的区别几乎是必考，但问法很刁。它不会让你简单罗列，而是给你一个具体场景，比如“多线程程序里，一个线程崩溃会不会导致整个进程退出”，或者“多进程共享数据有哪些方式，多线程呢”。

我见过一道很有代表性的选择题：父子进程之间继承了什么，不共享什么。很多同学会选错，因为进程 fork 之后，子进程拿到的是父进程页表拷贝，内存空间独立，文件描述符表共享底层打开文件描述，但标准的答案是“内存空间不共享，文件描述符共享”。这种题就是考你底层模型的掌握程度，而不是背概念。

死锁也是高频点。四个必要条件：互斥、持有并等待、不可剥夺、循环等待。选择题通常会给四个场景，问你哪个不是死锁产生的必要条件，或者给你一段并发代码，问你会不会死锁。答题的时候注意区分“互斥”和“竞争”的关系：有竞争不一定死锁，只有四个条件同时满足才可能死锁。简答题偶尔会考“如何避免死锁”，答案是破坏其中的一个条件，比如资源排序加锁、超时重试、银行家算法，这类题只要原理说清楚就行。

还有一个容易忽略的考点是协程。奇安信校招里有些岗位偏服务端，会问到协程和线程的区别。协程是用户态调度的轻量级调度单元，切换开销小，适合 I/O 密集场景；线程是内核态调度，适合 CPU 密集和并行场景。这个点如果简历里写了 Go 或者 Python asyncio，面试时一定会追问，笔试里也会以选择题形式试探。

2.3 数据库题：从范式到 SQL 注入

数据库选择题主要考三块：SQL 语法和执行顺序、索引原理、事务隔离级别。SQL 执行顺序是个经典坑，很多人写 SQL 很熟练，但问你执行顺序就懵。正确顺序是：

1. FROM，确定数据源
2. WHERE，过滤行
3. GROUP BY，分组
4. HAVING，过滤分组
5. SELECT，投影列
6. DISTINCT，去重
7. ORDER BY，排序
8. LIMIT/OFFSET，分页

这个顺序决定了你写的 SQL 能不能跑，以及 where 和 having 能不能互换。奇安信的题不会单独考这个，但会在 SQL 注入相关的题里藏执行顺序。比如一个查询加了 group by，但是 where 里用了聚合函数，这就是非法的。你如果对执行顺序没概念，很容易选错。

事务隔离级别也是必考点。读未提交、读已提交、可重复读、串行化，四种隔离级别分别解决脏读、不可重复读、幻读。MySQL 默认是可重复读，但可重复读下仍然可能出现幻读，InnoDB 通过间隙锁来解决大部分幻读场景。这块不但笔试考，面试也更爱问。我建议你把每种隔离级别能避免的问题和不能避免的问题都列出来，别只记名字。

数据库还有一个隐藏考点是 SQL 注入。奇安信作为安全公司，至少在选择题或简答题里会问“如何防护 SQL 注入”。常规答案就是预编译加参数化查询、白名单校验、最小权限原则、过滤危险关键字。但注意，在笔试里只答“预编译”可能不够，你要说明为什么预编译能防注入：因为参数与 SQL 语句模板分离，参数不会再被拼接为可执行代码。这个“为什么”才是安全公司想看到的。

3. 算法与手写代码：保住基础分

3.1 笔试判卷眼中的“能跑”和“不能跑”

编程题是很多人的主战场，但奇安信的编程题并不追求高难度，更看重完成度和代码质量。我做过好几个安全厂商的笔试，普遍风格是：题目描述比较务实，比如实现一个字符串过滤、一个 LRU 缓存、一个二叉树遍历，或者一个带边界检查的文件路径解析。

这类题你可能在 LeetCode 上做过原题，但笔试环境有几点和本地刷题不同。第一，没有自动补全，所有结构体、头文件要自己写。第二，判题系统只关注样例是否通过，但人工阅卷会看代码风格。第三，边界条件检查和空指针处理，是安全公司格外看重的。你写一个函数，如果入参是空指针，你直接解引用，这在普通公司可能只是扣点分，在安全公司眼里就是“没有防御性编程意识”，印象分会很差。

所以我的建议是：写代码之前，先花一分钟思考输入边界。字符串有没有可能为空？数组长度会不会是 0？数字会不会溢出？文件路径会不会带 ..？这些边界条件处理好了，哪怕算法不是最优，至少给阅卷人的感觉是“这个人能写生产代码”。

3.2 必须拿下的三张算法脸

编程题高频题型，我总结下来就三类：链表、字符串处理、Top K 或排序。别小看这三类，它们覆盖了大部分笔试。

链表题最经典的是反转链表、判断链表是否有环、合并两个有序链表。这种题看似简单，但手写时很容易在指针移动上出错。我建议你准备一个模板，比如反转链表用迭代法，三个指针 prev、cur、next 循环移动，边界条件注意 head 为空或只有一个节点。如果你用递归，要理解返回值是反转后的新头，否则很容易写成死循环。

字符串处理题更贴近工程，比如“给定一个文件路径，规范化它，去掉多余的斜杠和 ..”。这题就是 LeetCode 的 Simplify Path，也是奇安信这类安全公司喜欢考的，因为它跟路径遍历漏洞直接相关。实现方法是用栈处理路径片段，遇到 .. 就弹出，遇到空片段或 . 就跳过。这个题的代码量不大，但你要把栈的出入时机写对。如果路径是绝对路径和相对路径，初始栈的状态还不一样，这种细节就很容易丢分。

Top K 类问题，比如“从海量整数中找出前 K 大的数”，最优解是堆排序，时间复杂度 O(n log k)。但笔试里你直接用数组排序再取前 K 个，如果 K 比较小或者数据量不大，其实也能过。关键是你能不能写出建堆、调整堆的代码。如果堆不熟，我建议你用快速选择算法，写起来短，但要小心极端情况退化到 O(n²)。安全起见，笔试现场还是优先用稳定的 sort 再取切片，先把用例跑通再说。

3.3 安全场景代码题：路径遍历和输入校验

这部分是奇安信试卷的特色。普通的软件开发卷只考“实现一个功能”，奇安信会考“实现一个安全的版本”。比如让你写一个文件下载接口，接收 filename 参数，从某个目录读取文件返回给客户端。这题表面是文件操作，实际考的是路径遍历防护。

路径遍历的漏洞原理很简单：攻击者传入../../etc/passwd，把路径逃逸出根目录，读取任意文件。如果你的代码直接拼路径，open(base_dir + filename)，那就炸了。安全的写法要先规范化路径，然后检查最终路径是否以 base_dir 开头。代码可以写成：

import os def safe_read(base_dir, filename): full_path = os.path.realpath(os.path.join(base_dir, filename)) base_path = os.path.realpath(base_dir) if not full_path.startswith(base_path + os.sep): raise ValueError("invalid path") with open(full_path, "rb") as f: return f.read()

这里关键有两点：用realpath解析掉..和符号链接，再用前缀判断限制目录范围。你可能会说，为什么不用abspath？因为如果 base_dir 本身是符号链接，abspath不会解析符号链接，realpath会。这个细节写出来，阅卷人会高看你一眼。

输入校验也是安全代码题的重头戏。比如让写一个函数，判断用户输入的邮箱是否合法。大部分人会直接用正则，但正则写不好容易出问题，要么校验过松，要么引发灾难性回溯。更好的做法是先用长度限制，再做格式校验，甚至通过解析器来验证。虽然简单题用正则也能过，但你可以在注释里说明“这里假设输入长度上限为 100，避免 ReDoS”，这个思路比代码本身更值钱。

4. 安全常识与选择题：拉开差距的地方

4.1 安全基础题的高频范围

安全常识题对很多没有安全背景的同学来说是完全陌生的，但它恰恰决定了你能不能过笔试。高频考点集中在几个经典漏洞：XSS、CSRF、SQL 注入、SSRF、文件上传、路径遍历、越权访问。你不一定需要深入漏洞利用，但至少要理解漏洞产生的原因、危害和修复方案。

XSS 要分三类记：反射型、存储型、DOM 型。反射型需要用户点击恶意链接，非持久化；存储型把 payload 存进服务端，其他人访问就触发，危害最大；DOM 型在前端修改 DOM 时触发，不经过服务端。修复方案的核心是输出编码和输入过滤，富文本场景还要用白名单过滤标签。

CSRF 的考点更容易混淆。它利用的是用户的登录态，伪造请求让用户执行非预期操作。修复方案常见有三种：CSRF Token、SameSite Cookie、校验 Referer/Origin。这里要注意 CSRF 和 XSS 的区别：XSS 是信任用户输入导致的脚本执行，CSRF 是信任浏览器请求导致的伪造操作。选择题里经常把这两个混在一起设置选项，你脑子里要有清晰的对比。

SSRF 这块，安全厂商特别看重，因为它通常出现在服务端请求外部资源的场景，比如图片代理、URL 抓取。攻击者传入内网地址，让服务端去访问内网资源，从而探测内网。修复方案是限制目标地址为公网 IP，并校验 DNS 解析结果，禁用重定向。这类题在奇安信笔试里出现的概率很高，因为它的安全产品就经常要处理这类攻击。

4.2 奇安信产品线相关的常识

笔试里偶尔会出现跟奇安信自家产品、安全事件相关的选择题，用来判断你对公司的了解程度。我当时准备的时候，专门把奇安信的主要产品线过了一遍。天擎是终端安全管理系统，有主机防护、资产管理、漏洞管理这些能力；天眼是威胁监测与分析平台；代码卫士是源代码安全审计工具；网站卫士是云 WAF。不用太深，但至少看到产品名字要知道它属于哪个方向。

这类题不会难，更多是送分题。比如问“下面哪个产品属于终端安全类”，四个选项里混了天擎、天眼和其他竞品，你能认出来就得分。如果你完全没了解过，只能猜。所以我建议投简历之前，花半小时浏览一下奇安信官网上产品中心，把主要产品的定位记住，笔试不吃亏，面试也会加分。

4.3 选择题里的坑

选择题的坑主要在“绝对化表述”和“偷换概念”。比如“只要对用户输入做了过滤，就不会被 SQL 注入”这种选项，百分之百是错的，因为过滤不是根本方案，参数化查询才是。再比如“HTTPS 可以防止所有中间人攻击”，也是错的，HTTPS 只能防窃听和篡改，防不住钓鱼和证书被信任问题。安全领域里没有银弹，所有“一定”“百分百”的表述基本都值得怀疑。

另一个坑是选项之间高度相似，只在细微处不一样。比如“跨站脚本攻击”“跨站请求伪造”“服务端请求伪造”三兄弟，名称缩写像，原理完全不同。做题时先看攻击链条：是用户输入进 HTML？是伪造请求？还是服务端主动发请求？这条逻辑链能帮你快速排除干扰项。

简答题里也常见送命题：“谈谈你对安全开发的理解”。这题不要泛泛而谈，一定要把安全左移、SDL（软件安全开发生命周期）、威胁建模这些关键词说出来，再结合自己熟悉的开发流程举个例子。比如你可以在 CI/CD 里接入代码审计工具，在 code review 时关注输入校验和错误处理。这种答案既专业又落地，比贴大词强得多。

5. 备赛时间线与实战建议

5.1 八周复习安排

如果你现在离秋招还有两三个月，时间很充裕。我建议按八周来规划，前四周过基础，中间两周刷题，最后两周做模拟和查漏补缺。

第一周到第四周，主要任务是把计算机基础补扎实。网络、OS、数据库三门课，每天抽两小时，按章节过。不要直接背八股，而是结合问题去理解。比如学 TCP 就抓着一个问题问：为什么挥手需要四次？因为被动关闭方可能还有数据要发，所以要分开确认。学进程就追着问：进程和线程到底共享了什么资源？这样带着问题学，记忆深刻，笔试简答题也答得上来。

第五周到第六周，集中刷题。LeetCode 上按标签刷：数组、链表、字符串、二叉树、堆、动态规划，每个标签刷 20 道左右，不求多，但求能手写出模板。这个阶段要注意限时训练，一道中等题控制在 25 分钟以内，否则笔试现场时间容易不够。

第七周开始做模拟题。找一些牛客网或者历年校招真题，按照真实笔试的时间和环境走一遍。重点不是做对多少，而是培养节奏感。有些同学前面选择题抠太久，导致后面编程题只剩十几分钟，这是最亏的。碰到没思路的题，先标记跳过，别死磕。

5.2 线上笔试系统要注意的细节

奇安信秋招笔试一般是线上进行，用的系统可能是牛客或者其他第三方平台。有几个细节要提前确认好。

浏览器兼容性。有些笔试系统只支持 Chrome，提前装好，更新到最新版。摄像头监控需要授权，别考试时被系统拦截。网络环境当然要稳定，但更重要的是提前测速。我见过有人考试时突然断网，虽然系统一般能续答，但心态直接崩了。

代码编辑器方面，有些平台支持多种语言，但没有本地调试。你要对自己的代码能力有信心，写完仔细检查语法。平时练习时，不要依赖 IDE 的自动补全和语法提示，多用手写或简单文本编辑器，模拟真实环境。另一个容易被忽略的是输入输出格式。很多笔试不是让你实现一个函数，而是让你从标准输入读数据，处理完再输出。如果你不熟悉cin >>、printf或sys.stdin.readline()的细节，很容易在 IO 上卡壳。

5.3 笔试之后的面试衔接

笔试只是第一关，奇安信的面试通常会参考笔试结果，问得更多。我在面试里就被问过“你笔试那道路径遍历题，如果用户传入的是 Unicode 编码的斜杠怎么办”。这是个非常现实的追问，因为路径校验的坑远不止..。

这类问题其实没有唯一答案，面试官想看你的思考链路。你可以说：先做 Unicode 规范化，把变体字符映射成标准斜杠，再做合法性校验；同时用realpath解析最终路径，确保不逃逸目录；最后用操作系统级别的访问控制兜底。这里考察的不只是安全知识，还有你对生产系统防御深度的理解。

准备面试时，把你笔试做错的题都复盘一遍。尤其是选择题里那些模糊的概念，面试官很可能直接拿出来问。笔试阶段记不清的地方，面试时就是照妖镜。我当时就因为在笔试里把 CSRF 和 SSRF 搞混了，面试被追问了一轮，非常狼狈。所以笔试结束不是终点，把每道错题变成知识点，才算真正把这套卷子吃透。

最后再分享一个我在实际笔试里养成的习惯：分配时间时，给编程题留足 45 分钟以上，选择题最多一题一分钟。奇安信的卷子题量不小，如果前面东抠西抠，后面代码题很容易仓促收尾。而这类公司的编程题虽然不算难，但代码质量直接影响进面试后的评价，值得你把所有精力集中在上面。准备秋招本身就是场信息战，方向对了，努力才不会白费。