1. 笔试题的整体设计思路与考察逻辑
1.1 一份试卷的结构：Java、安全、Linux、算法的组合逻辑
奇安信2019春招笔试题（二）给我的第一印象是：这不是一份纯粹的技术刷题卷，而是一份“安全岗基本功体检表”。那段时间我在帮准备校招的学弟整理历年笔试复盘，把这份卷子的题目从头到尾过了一遍，发现它明显分成了四块：Java基础与代码理解、安全编码与漏洞分析、Linux命令操作、经典算法与数据结构。选择题、简答题、编码题混在一起，题量不小，60分钟要全部做完，对状态和节奏的要求都不低。
我后来复盘时认真想了一下这个结构，发现它并不是随便拼凑的，而是对应了安全开发岗位日常工作里的三条主线。第一，你每天要看别人的代码，所以得能快速读懂一段Java代码的输出、异常或者边界问题；第二，你要做安全分析和工具研发，所以必须对路径穿越、命令注入、目录遍历这些漏洞有本能级的敏感度；第三，安全工具经常跑在Linux服务器上，查日志、查进程、找文件是家常便饭，操作系统底层的操作能力绕不开。
所以这套卷子的核心逻辑就是：代码敏感度、漏洞理解力、系统操作能力、基础算法功底，四件事同时考察。很多同学只刷LeetCode就去笔试，结果在安全简答题上栽了跟头，或者反过来，安全题答得不错但算法题写不出来，最后总分不理想。准备阶段最好四个方向都覆盖到，不能有明显的短板。
1.2 与一般Java后端笔试题的差异：为什么安全公司不重Spring
我对比过一些互联网公司Java后端岗的笔试题，大多数会围绕Spring、JVM、并发编程、MySQL索引这些方向出题。但这套题目（二）里，Spring几乎没有出现，JVM相关题目也很浅，反而是文件路径处理、Linux命令、输入校验这些内容占了不少篇幅。刚开始我很不理解，后来和做安全开发的朋友聊了一下，才逐渐想明白。
安全公司的软件开发，尤其是终端安全、Web安全检测、攻防工具这一类，通常需要直接和系统底层打交道。文件读写、进程管理、日志采集、路径解析、URL参数处理，这些场景本身就是安全事件的高发地带。一个工具如果连路径遍历校验都做不好，那它自己就是漏洞源。所以在选材上，出题人明显偏向系统底层和安全编码，而不是业务CRUD。
这对准备笔试的同学是个很实际的信号：如果你想投网安方向的研发岗，复习重心要往下沉。多花时间搞懂Java NIO、文件处理、java.nio.file.Path、Linux常用命令、网络协议基础，比熟练背诵Spring Bean生命周期更有实际价值。这不是说Spring不重要，而是在这份卷子里它的优先级排在了后面。
2. Java基础题解析：数组、引用与常见陷阱
2.1 数组引用传递的经典陷阱
这套卷子中有这样一道选择题，给了几段Java代码，让判断输出结果。其中最有代表性的一段如下：
public class TestArray { public static void main(String[] args) { int[] arr = {1, 2, 3}; change(arr); System.out.println(Arrays.toString(arr)); String name = "before"; changeString(name); System.out.println(name); } private static void change(int[] arr) { arr[0] = 99; arr = new int[]{7, 8, 9}; } private static void changeString(String str) { str = "after"; } }这里涉及两个高频考点。第一个是数组在Java中属于对象，方法传参时复制的是引用值，所以arr[0] = 99这一行会真实修改外部数组的元素。但紧接着arr = new int[]{7, 8, 9}只是在当前方法栈帧里把局部变量指向了一个新对象，不会影响外部main方法中的arr引用。所以最终打印Arrays.toString(arr)的结果是[99, 2, 3]，不是[7, 8, 9]。
第二个考点是String的不可变性。changeString方法里执行str = "after"，本质上是生成了一个新的String对象，并让局部变量str指向它，外部name的引用始终没有变化。因此最终打印出来的是before，而不是after。这道题就是把“赋值”“修改”两个概念的区别放在了一起，很多刚入门Java的同学都会栽在第二问上。
2.2 Java数组与C语言指针：概念对比更不容易忘
热搜词里出现了“数组和指针笔试题”，这就不得不提到C语言版的同类考点。在C语言中，数组名作为函数参数时退化为指针，修改元素同样会影响原数组；但C语言还多了指针运算、指针偏移、空指针判断这些Java完全没有的复杂度。比如*(arr + 1)与arr[1]等价，char *p = str之后p++直接移动一个字符的位置，这种底层操作在Java笔试里不会出现，却在C语言笔试里是常规操作。
我当时复习这些内容时，把它们放在一个对比框里记。C语言强调“数组变量就是一块连续内存的首地址”，而Java强调“数组变量是一个引用，指向堆内存中的数组对象”。这两种思考方式导致的问题风格完全不同。准备奇安信这类网安公司的笔试题时，不需要把C语言指针学到很深的程度，但至少要把基本概念捋清楚，因为简答题中偶尔会出一段C代码让分析，如果完全看不懂会很吃亏。
2.3 字符串、集合类的隐藏考点
除了数组和引用，这份卷子的选择题里还有一些容易忽略的内容，我整理记忆最深刻的几点。
一个是字符串常量池。String a = "abc"; String b = "abc"; a == b返回true，但如果用new String("abc")创建的对象，直接和a比较则返回false。理解这个考点需要知道JVM中字符串常量池的存在，以及intern()方法的作用。另一个是equals与hashCode的约定，这在HashMap作为容器时尤其重要，元素重写了equals但没有重写hashCode，会导致相同的对象映射到不同桶里，产生数据错乱。
再一个是集合类的扩容机制。ArrayList的默认初始容量是10，当容量不够时按1.5倍扩容，每次扩容都会进行数组复制。HashMap在JDK8里的默认初始容量是16，负载因子是0.75，当链表长度达到8且数组长度达到64时，链表会转成红黑树。这些数字不一定直接考，但选择题里经常出现细节判断，如果平时没注意过底层实现，看到类似的选项容易犹豫。
我的建议是，针对这类型题，不用刻意去背源码，而是把几个关键类的核心机制通读一遍，重点记住默认容量、扩容阈值、比较规则，以及底层数据结构的切换条件。当你能从内存布局的角度理解这些设计时，很多选择题都会变成送分题。
3. 安全编码题解析：路径遍历漏洞的识别与修复
3.1 原题复现：一个下载接口的漏洞定位
这道题几乎可以算得上是这套卷子里的核心题，考的是路径遍历漏洞，也就是常说的目录穿越。题目给了一段Java服务端代码，模拟了一个文件下载接口：
@GetMapping("/download") public void download(HttpServletRequest request, HttpServletResponse response) throws IOException { String fileName = request.getParameter("filename"); String baseDir = "/data/uploads"; File file = new File(baseDir, fileName); FileInputStream fis = new FileInputStream(file); // ... 复制文件内容到响应输出流 }题目的问题也很直接：第一，这段代码存在什么安全漏洞；第二，如何修复。
这道题看起来简单，但想答完整并不容易。大多数同学能写出“路径遍历”这个漏洞名称，也知道用..可以跳出限定目录，但真要让写出一个完整的修复方案的时候，往往只写了“过滤..”这一层，属于典型的半吊子答案。这套题的阅卷逻辑里，思路的完整度和安全性意识占了很大比重。
3.2 漏洞原理：路径解析与“..”向上跳转的语义
要理解为什么直接拼接路径会出问题，得从文件系统如何解析路径说起。在Linux这类系统里，路径中的..会被解析为“当前目录的上一级目录”。当代码执行new File("/data/uploads", "../../etc/passwd")时，最终系统访问的路径逻辑上等价于/etc/passwd。因为先进入/data/uploads，再向上跳一级到/data，再向上跳一级到根目录/，然后进入etc目录找到passwd文件。
更值得警惕的是Java处理File构造函数的特殊情况。new File(parent, child)在底层拼接时，如果child是绝对路径，比如以/开头，那么parent参数会被完全忽略，直接使用child作为最终路径。攻击者如果传入filename=/etc/passwd，代码就会直接读取/etc/passwd，完全不经过/data/uploads目录限制。这两条攻击路径本质上是同一个问题的两种表现：系统信任了用户输入中的路径语义，却没有做任何校验。
3.3 修复方案：从黑名单过滤到规范化校验
最基础的修复方式是过滤掉..或/等特殊字符，但这一层在黑名单思路下很容易被绕过。比如用....//绕过对../的过滤，过滤掉第一层..后剩下的../又重新形成了穿越路径。还有用URL编码%2e%2e%2f绕过，服务端在解码后才发现变成了../。所以我在给这道题写答案时，第一版写的是黑名单过滤，后来检查时发现能绕过的场景太多，干脆换成了更稳健的“规范化+前缀校验”方案。
推荐修复方式是下面这样：
Path basePath = Paths.get("/data/uploads").toAbsolutePath().normalize(); Path targetPath = Paths.get(basePath.toString(), fileName).normalize(); if (!targetPath.startsWith(basePath)) { throw new IOException("Invalid path"); }这段代码的核心逻辑有三步。第一步，把业务允许的根目录转成绝对路径并规范化，消除字符串中可能存在的..或多余分隔符；第二步，把用户传入的文件名和根目录拼接成目标路径，然后同样做规范化处理；第三步，用startsWith判断目标路径是否仍然处于根目录之下。只要目标路径跳出了根目录范围，就立即拒绝访问。
这个方案比黑名单过滤可靠在哪里？因为路径规范化本身会把..这类语义消解掉，然后再做一次的边界判断，本质上是以“白名单目录”为核心。即使攻击者用不同的编码、分隔符或重复斜杠来构造路径，经过normalize()处理后最终都会收敛成一个标准路径，越界的情况会被startsWith拦下。不过这里要注意一个小问题：startsWith判断的是路径前缀，必须确保根目录后面带有分隔符，比如/data/uploads/，否则可能出现/data/uploads-evil这种情况被认为是合法前缀的边界漏洞。
3.4 影响范围分析：路径穿越不只是“读文件”
从实际安全视角看，路径遍历漏洞造成的影响远不止“能多读几个文件”。如果下载接口存在路径穿越，攻击者可以读取服务器上的配置文件、数据库密码、代码文件、Web目录下的敏感文件等，为后续横向攻击提供情报基础。如果类似的拼接思路出现在文件上传接口里，攻击者就可能把恶意文件写入web目录并直接访问执行，演变成远程命令执行，风险等级会从高危升级到严重。
我在整理这道题时，特意把“上传+下载”两条链路放在一起复盘。上传接口常见的路径穿越方式是构造 zip 压缩包内的文件名，比如把恶意文件名写成../../shell.jsp，如果服务端解压时不做路径规范化，文件就会从uploads目录跳出来，写进webapp的根目录。这和下载接口的new File(baseDir, fileName)本质上是一个问题：用户输入的路径信息被信任了。安全编码的第一原则，就是对所有外部输入保持怀疑，文件路径这类直接触达操作系统的输入尤其如此。
4. Linux操作题与算法题解析
4.1 Linux文件查找与日志分析
这套卷子的Linux部分单独出了一道操作题：要求查找/var/log目录下最近7天内被修改过的所有.log文件，并统计数量。参考答案如下：
find /var/log -type f -name "*.log" -mtime -7 | wc -l看起来只是一行命令，但实际考察点不少。-mtime -7中的减号表示“小于等于7天”，+7表示“大于7天”，不带符号的7表示“恰好第7天”。这个细节很容易记混，笔试时一紧张就容易写错。-type f也非常关键，如果漏掉，find会把匹配名字的目录也算进来，统计数量会虚高。出题人把这个藏在统计需求里，就是想让做题人注意这个细节。
如果题目再加一档难度，要求把找到的文件按大小排列，可以配合-exec来做：
find /var/log -type f -name "*.log" -mtime -7 -exec ls -lh {} \; | sort -k5 -hr这里的排序是按人类可读大小排的，sort -h能正确识别K、M、G单位。现实中排查日志目录时这个命令非常实用，比如定位哪个日志文件在短时间内膨胀最快。
4.2 进程与端口排查命令
除了文件查找，这套笔试题的Linux部分还涉及进程和端口排查。常见场景是：服务器上某个Java进程占用了8080端口，需要查到这个进程并进行处理。常规思路是先找到监听端口对应的进程ID，再查看进程详情。
netstat -tlnp | grep 8080 lsof -i:8080 ps -ef | grep java这里有一个经验性建议：lsof的输出信息比netstat更友好，能看到启动进程的完整命令行，但有些精简版系统可能没有安装lsof，所以最好同时掌握netstat的基础用法。面试官也常追问的一道衍生题是：如果端口被占用，但netstat看不到具体进程怎么办。常见原因是当前用户权限不够，需要用sudo提升权限，或者进程属于另一个用户空间，需要用ps aux | grep配合排查。
4.3 链表反转：从迭代到递归的边界处理
算法题部分出了一道经典的单向链表反转，标题很直接：给定链表的头节点，输出反转后的链表头节点。
迭代写法是最稳妥的答案：
public ListNode reverseList(ListNode head) { ListNode prev = null; ListNode cur = head; while (cur != null) { ListNode next = cur.next; cur.next = prev; prev = cur; cur = next; } return prev; }写这个代码时最容易出错的地方在循环体内，很多人会下意识先执行cur.next = prev，再执行next = cur.next，结果next已经被覆盖成prev，链表直接断掉。我的经验是：永远先保存当前节点的下一个节点，再修改当前节点的指针指向。这几乎是一个可以背下来的模板。
递归写法作为加分项也写在旁边：
public ListNode reverseListRecur(ListNode head) { if (head == null || head.next == null) { return head; } ListNode newHead = reverseListRecur(head.next); head.next.next = head; head.next = null; return newHead; }递归解法的理解重点在于：递归函数把“以head.next为起点的小链表”反转好了，然后让原来的后继节点的next指向当前节点，再把当前节点的next置空。如果面试时能画出递归调用栈来说明每一步的变化，会很加分。但笔试时间紧张时，我建议优先写迭代版本，保证正确率，递归思路可以在注释里简单提一句。
5. 实战避坑与面试经验
5.1 时间分配：先做容易拿分的题
这份卷子的题量对于60分钟来说并不算小，很多人从第一题开始按顺序做，结果卡在一道Linux细节题上，浪费了十分钟，后面的算法大题来不及写。我复盘时给学弟的建议是：拿到卷子后先花两分钟快速浏览全部题目，标记出哪些是确定的、哪些是没把握的，优先拿下确定的内容。
比如选择题里关于String ==和equals的题目，几乎看到题干就可以秒选。安全题里哪怕不会写完整修复代码，也可以先写“路径规范化”和“前缀校验”两个关键词，让阅卷人看到思路是通的。编码题里的链表反转，先把迭代版本写出来，不要一上来就挑战递归。这样分配下来，各类题目都能拿到基本分，不至于某一板块完全空白。
5.2 边界条件与代码严谨性
这轮笔试题给我留下的一个强烈感觉是：出题人非常看重边界条件的严谨度。路径遍历修复题里，如果只是写出了核心修复代码，但没有处理filename为空的场景，整体答案就会显得有些毛糙。我在实际写答案时，总会在方法入口加一段空值判断：
if (fileName == null || fileName.isEmpty()) { throw new IllegalArgumentException("filename cannot be empty"); }链表反转里优先级最高的是空链表和单节点链表，这两个case在迭代版本里天然就能处理，但如果你没意识到要单独测试它们，代码风格上会显得不够老练。给算法题写注释时把边界情况写出来，也是一个很好的习惯。阅卷人看到你主动考虑这些情况，一般都会给更高的评分。
5.3 面试追问方向与延伸学习
笔试结束之后，面试官往往会顺着笔试题继续往下挖，尤其是那道路径遍历题，几乎必被追问。常见的追问方向有几个。如果这是一个文件上传接口，路径遍历怎么处理？答案思路是：对上传文件名称做白名单校验，并在保存时用Paths.get(...).normalize()校验最终路径是否在目标目录内。如果服务端前面还有Nginx代理，攻击者用URL编码会不会绕过代码层的过滤？这就要讨论到解码顺序的问题，需要保证所有归一化操作都发生在校验之前。
还有一个常见追问是Windows和Linux路径差异。Windows里面路径分隔符是反斜杠，同时存在盘符的概念，比如C:\uploads\..\Windows\win.ini，校验逻辑要同时兼容两种系统的分隔符。我在复习时会把下载、上传、解压zip、Nginx代理这几个场景串起来看，把路径遍历的所有攻击变形方式和修复手段统一整理成一套方法论。面试时只要能把其中一两个场景讲透，就已经比大部分候选人扎实了。
5.4 写在最后的经验
整理完这份奇安信2019春招笔试题（二）之后，我最大的收获不是记住了几个代码模板，而是真正理解了安全岗笔试和普通后端笔试的差别。安全岗考的不只是你会不会写代码，更是你会不会用一种“怀疑输入”的眼光去看代码。每一个从外部传入的参数、每一条拼出来的路径、每一个执行系统命令的接口，背后都可能有攻击面。准备这类笔试时，把Java基础、文件处理、Linux命令、常见漏洞模式整理成一个知识网络来复习，比零散刷题要高效得多。希望这份复盘能帮正在准备网安方向校招的你少走一些弯路。
