移动安全这个方向，在安全圈子里一直有点神秘感，不少人以为是“黑客专场”，实际上校招笔试考的东西非常基础且庞杂。我当年投过网易杭研的移动安全开发工程师岗位，也带过几个学弟学妹准备这类笔试，最大的感受是：笔试不是考你多能“攻”，而是考你的知识面有多宽、基础有多牢。尤其是网易这种大厂，校招笔试的第一批通常题量大、覆盖广，从操作系统到密码学，从安卓组件到网络协议，全部塞进一张卷子里。这篇就结合我自己的准备经验和后续辅导中总结的要点，把这类笔试的重点、备考思路和容易踩的坑一次说清楚。
1. 岗位认知与笔试全局拆解
1.1 移动安全开发工程师到底是做什么的
移动安全开发工程师，名字里带“开发”两个字，说明这不是一个纯研究型岗位。日常工作更多是围绕移动端应用的安全能力建设展开，比如应用加固、代码混淆、安全SDK开发、漏洞扫描平台建设、安全测试工具开发等。换句话说，你既要懂攻击原理，又要能写代码把它防御住。
在网易杭研这类部门，移动安全工程师会接触到网易系大量移动产品，从游戏到音乐、从电商到办公软件，覆盖安卓和iOS两端。笔试当中考察的内容，也基本围绕这条业务线展开：系统底层原理（因为加固和对抗都依赖系统机制）、加密算法（数据保护和通信安全）、二进制分析（逆向和反逆向）等。
1.2 笔试的整体结构和高频考察模块
我翻过近几年的校招笔试题，也结合自己和身边人的回忆，移动安全开发方向的笔试通常包含这几个大模块：
- 计算机基础知识：操作系统、计算机网络、数据结构与算法，这部分占比不小，大约30%左右。
- 移动平台专项：Android四大组件、Handler机制、iOS的Runtime、签名机制、沙盒机制等，占30%左右。
- 安全专项知识：加解密算法原理、常见漏洞原理、安全防护方案设计，占30%左右。
- 代码与逻辑题：给一段代码让分析漏洞或写出输出结果，或者给出一个安全场景让设计解决方案，占10%左右。
这里要提醒一点：不同批次的题型会有差异，第一批往往比较“常规”，更看重基础；后面批次的题目可能会更偏实际业务场景。但无论哪一批，基础知识的比重都不会低，尤其是算法题，这个反而成了安全岗刷人的重灾区。
1.3 为什么杭研的题目值得单独研究
网易杭研是网易的核心技术研发机构，安全团队在业内口碑一直不错，尤其在游戏安全对抗方面积累很深。这意味着杭研的移动安全笔试题，会比纯互联网业务的安全岗更偏重底层。比如同样是考安卓逆向，别的厂可能问“Jadx怎么用”，杭研的题可能会问到ELF文件结构、SO库加载流程、inline hook的实现原理。
所以准备杭研的笔试，不能只刷网上的安全面试题，要有针对性地往底层系统知识上多花时间。我后面会专门拆解这些底层知识点。
2. 核心基础模块：系统、网络与算法
2.1 操作系统与Linux基础：安全对抗的地基
移动安全绕不开操作系统，尤其是安卓底层就是Linux内核，所以Linux基础几乎是必考的。笔试里常见的考点包括进程管理（进程调度算法、进程间通信方式）、内存管理（虚拟内存、分页分段、内存映射）、文件系统（inode、权限管理）等。
这里最值得深耕的是进程间通信（IPC）和内存映射，因为这两个点直接关联移动安全的高频场景：
- 进程间通信方式：管道、消息队列、共享内存、信号量、Socket，在安卓里还有Binder。Binder是安卓特有的IPC机制，笔试经常考它的工作流程，以及为什么用Binder而不是传统IPC（性能、安全、一次拷贝）。
- 内存映射：mmap在安卓里被广泛使用，比如Binder驱动、匿名共享内存（ashmem）。理解mmap的原理，对后续理解SO文件加载、脱壳、内存dump都有帮助。
另外，用户态与内核态的切换、系统调用流程也是常考点。这些知识点看着枯燥，但确实是移动端漏洞分析和加固方案设计的底层支撑。我建议复习的时候不要死记硬背，而是顺着“数据从用户态到内核态走一遍”这个思路去理解，会容易很多。
2.2 计算机网络与协议安全：不只是背ISO模型
网络这块，基础考点是TCP/IP协议栈、HTTP/HTTPS流程、DNS解析过程。安全岗的特殊之处在于，不仅要懂协议本身，还要懂协议的安全属性和攻击面。笔试里经常会结合具体场景出题，比如：
- HTTPS握手过程，以及中间人攻击如何防御（证书校验、证书固定）。
- TCP三次握手的SYN Flood攻击原理，以及防御思路。
- DNS劫持的原理和应对方案（DNS over HTTPS、DNS over TLS）。
其中HTTPS和证书体系是移动安全的高频考点，因为移动应用几乎所有通信都基于HTTPS，而应用的安全性往往取决于证书校验是否严谨。笔试可能会给一段客户端代码，让你分析它的证书校验逻辑存在什么问题，这就需要你清楚TrustManager、SSLPinning这些概念。
2.3 数据结构与算法：安全岗不能丢的基本功
很多准备安全方向的同学容易忽略算法，觉得“我又不做后端开发，刷什么LeetCode”。但大厂校招笔试中，算法题往往单独占一道大题，而且分数不低。网易笔试的算法题普遍在中等难度，主要考察数组、链表、二叉树、动态规划、哈希表等。
我的建议是至少要把二叉树遍历、链表操作、动态规划基础题、字符串处理这四类刷熟。安全方向的同学可以额外关注一种题型：查找/计算哈希冲突、设计一个带过期时间的缓存这类与安全场景相关的设计题，它们既考代码能力，又考对数据结构的理解深度。
3. 移动平台核心知识点拆解
3.1 Android系统机制：从启动流程到Binder
Android在移动安全笔试中占据绝对主力位置，因为它开源、可定制、安全对抗的玩法多，题目出起来很方便。常见考点分为几个层次：
第一个层次是应用层机制：Activity的启动模式、Service的两种启动方式、BroadcastReceiver的动态静态注册区别、ContentProvider的权限控制。这些是Android开发的基础，安全岗也要求掌握，因为四大组件本身就是攻击面，比如导出组件可能被外部恶意调用、ContentProvider可能产生数据泄露。
第二个层次是系统层机制：Zygote进程启动流程、SystemServer的作用、Binder通信机制、Handler消息循环。这里最常考的是Handler，因为它关联到线程切换和ANR问题，出题角度很多。我见过一道题，让分析“主线程中执行网络请求为什么报错”，表面考网络，实际考的是Handler和线程模型。
第三个层次是安全机制本身：APK签名机制（v1/v2/v3签名）、权限模型（正常权限、危险权限、签名权限）、沙盒机制（每个应用独立UID、数据隔离）。应用签名是重中之重，因为应用签名关系到应用的身份和完整性校验，加固、插件化、热更新都涉及签名校验逻辑。
3.2 iOS安全要点：逆向分析与越狱对抗
虽然网易杭研的移动安全以Android为主，但笔试也可能会涉及一些iOS内容，毕竟业务线覆盖两端。iOS的考点集中在：
- Objective-C Runtime机制：消息发送、方法交换（Method Swizzling）、动态添加方法。这个既是iOS开发的重要基础，也是iOS逆向和安全防护的关键点。
- iOS签名机制：证书、描述文件、entitlements（权限声明），以及App Store审核与签名验证流程。
- 越狱与沙盒：越狱环境下沙盒被突破的原理，应用如何做越狱检测和基本的反调试。
iOS的题一般来说不会像Android那么深入，但你要能把Runtime的消息转发流程讲清楚，把Method Swizzling的原理说透，这基本就能覆盖大部分题目了。
3.3 移动端加解密与密码学基础
加解密是安全岗笔试的“送分题”和“拉分题”并存的一个模块。基础考点包括：
- 对称加密：AES的各种模式（ECB、CBC、GCM），各自特点和适用场景。CBC的IV选择、GCM的认证标签是高频考细节。
- 非对称加密：RSA的加解密/签名验签过程、密钥长度与安全性的关系、公私钥用途区分。
- 哈希算法：MD5、SHA-1、SHA-256的碰撞安全性区别，以及密码存储中为什么要加盐（salt）。
- 密钥交换：DH协议和ECDH的基本思路。
笔试容易出现的应用题是：给出一个移动端登录场景，让你设计一个安全的登录协议，包括密码传输的加密方式、防重放攻击的方案（时间戳+随机数）、会话维持方案（Token机制）等。这类题不要求你写出完整代码，但要求你方案完整、逻辑自洽、能考虑到常见攻击场景。
我印象很深的一道题是：让对比ECB和CBC模式的安全性，并说明为什么ECB不安全。很多人只回答“ECB相同明文得到相同密文”，但更完整的回答要补上“ECB模式下密文块之间相互独立，攻击者可以通过调换密文块顺序实现数据篡改，而CBC模式的每个密文块都依赖前一个密文块，能更好地抵抗这种攻击”。这种细节就是拉开差距的地方。
3.4 二进制与逆向基础：从APK到SO文件
移动安全岗笔试中，逆向相关的题目很有代表性，而且出题方式很灵活。基础的必考点包括：
- APK结构：dex文件、resources.arsc、AndroidManifest.xml、签名文件、so库文件各自的作用。
- 常见逆向工具：Jadx（反编译APK）、IDA Pro/Ghidra（分析so库）、Frida（动态插桩）。
- so文件的加载流程：System.loadLibrary的调用链，从Java层到native层的链接过程。
- ELF文件结构：节头、程序头、PLT/GOT表、符号表的作用。如果要考得深一点，就会问PLT/GOT如何实现延迟绑定，inline hook为什么通常通过修改GOT表来实现。
这一类题目在笔试中的考查形式，往往是“给出一段Smali代码或一段C代码，让你分析它的逻辑”或者“让你设计一个检测方案”。准备时不需要真的精通IDA操作，但要能看懂简单汇编指令（mov、push、pop、call、jmp），要能理解栈帧结构。
4. 安全专项知识深化
4.1 移动应用常见漏洞与加固思路
这一块是安全岗笔试的“主场”，考的是对移动应用安全威胁的理解深度。常考的漏洞类型包括：
- WebView漏洞：任意文件读取、JS桥接接口暴露、域校验不严格导致的URL欺骗。
- 组件暴露：导出的Activity/Service被外部调用，Activity劫持，ContentProvider SQL注入。
- 数据存储不安全：明文存储密码、SharedPreferences存储敏感数据、数据库未加密、日志输出敏感信息。
- 传输层不安全：未强制使用HTTPS、证书校验不严、允许明文流量。
- 代码保护不足：未做混淆、未做加固、动态调试可被直接附加。
对于每个漏洞，笔试往往不会只问“有什么漏洞”，而是会给出一个场景让你分析。比如“某App在登录时使用HTTP明文传输，且密码使用Base64编码，分析其安全风险”。这种题的正确答法是：从数据泄露风险（中间人窃听）、密码存储风险（Base64可逆，等同于明文）、合规风险（个人信息保护相关要求）三个层次来答，而不是只答一句“不安全”。
加固思路方面，高频考点是：代码混淆（ProGuard/R8）、资源混淆、字符串加密、反调试、反模拟器检测、完整性校验、SO库加壳。笔试可能会问“这些加固手段各自能防御什么类型的攻击”，比如混淆防静态分析、反调试防动态调试、完整性校验防止重打包。
4.2 常见攻击链路与防御视角
笔试里另一个常考方向是攻击链路的分析。典型场景：
- 一个App被重打包后重新签名，攻击者植入恶意代码，诱导用户下载。请分析这属于什么类型的攻击，如何防御。
- 一个App的so库被提取出来单独分析，攻击者想通过hook获取核心算法。请说明hook的原理，以及防御思路。
这两类题分别对应应用完整性防护和代码逻辑防护。答题的时候，除了说清楚具体方案（签名校验、反Frida检测、加固壳），最好能体现出层次感：第一层是静态防护（混淆、加密），第二层是动态防护（反调试、反Hook），第三层是服务端校验（核心逻辑上移到服务端，客户端只做展示）。有层次感的回答，比堆砌一堆术语给分更高。
4.3 安全开发流程与合规意识
最近几年的笔试中，安全开发流程相关的题目出现频率明显升高。这类题不直接考技术细节，而是考察你对安全体系的理解。常见问题包括：
- 一个App在开发阶段、测试阶段、发布阶段分别应该做哪些安全工作？
- 如果让你推动业务部门修复一个高危漏洞，但业务方觉得影响上线进度，你怎么处理？
- 个人信息收集的最小化原则是什么？在App里怎么落实？
这类题没有标准答案，但答题时最好结合具体技术措施。比如开发阶段要做安全编码规范和安全评审，测试阶段要做静态扫描和渗透测试，发布前要做合规审查。说到个人信息保护，可以列举Android的权限申请机制，说明如何通过权限分级、动态申请、及时回收来落实最小化授权。这样既有高度，又有落地细节。
5. 实操演练与真题思路复盘
5.1 一道典型的代码审计类题目
这里分享一道我在准备过程中见过的典型题目，题型类似但具体细节有调整：
给定一段Android代码，其中包含以下逻辑：
WebView webView = findViewById(R.id.webview); webView.getSettings().setJavaScriptEnabled(true); webView.addJavascriptInterface(new FileBridge(), "bridge"); webView.loadUrl(intent.getStringExtra("url"));请分析这段代码可能存在的安全风险，并提出修复方案。
这道题的考点非常清晰，层层递进：
第一层风险：任意URL加载。loadUrl使用了Intent传入的URL，这意味着外部应用可以通过Intent调起该Activity并传入恶意URL。如果该WebView有JS交互能力，那么恶意网页可以直接执行JS代码。
第二层风险：JS桥接接口暴露。addJavascriptInterface将FileBridge对象暴露给WebView中的网页，而网页中的JS可以调用该对象的所有公共方法。如果FileBridge中有readFile这类危险方法，恶意网页就能读取App私有目录下的文件，这是非常经典的WebView文件读取漏洞。
第三层风险：明文传输。如果传入的URL是http://，数据会被明文传输，结合JS桥接，中间人也能注入恶意JS。
完整的修复方案包括：
- 对传入URL做白名单校验，只允许加载公司域名的合法URL。
- 移除
addJavascriptInterface，或只在App内部可控的本地HTML中使用，并对暴露的方法做@JavascriptInterface注解限制。 - 强制使用HTTPS。
- 在Android 4.2以上版本，系统默认只允许
@JavascriptInterface标注的方法被JS调用，但仍需配合URL白名单使用。
这种题答的时候，建议按“风险点-危害-修复方案”的结构逐条写，让阅卷人一眼看到你的分析逻辑。
5.2 一道综合设计题的思考框架
还有一类题很能拉开差距，就是综合设计题，例如：
设计一个安全的移动端支付方案，要求保证用户的支付凭证在传输和存储过程中不被窃取或篡改。
面对这类题，很多人的第一反应是“用HTTPS传输就行”，但这不完整。真正的答题思路要从全链路来考虑：
- 端侧安全：支付凭证不能明文存在SharedPreferences里，需要使用Android Keystore/iOS Keychain存储；App要有防调试、防注入、防Hook能力，防止攻击者在客户端直接篡改交易数据。
- 传输安全：使用HTTPS并做证书固定，防止中间人攻击；关键请求需要加签名（使用服务端下发的密钥对参数做HMAC签名），防止请求被篡改。
- 服务端校验：支付金额、订单号等关键参数不能只信任客户端传上来的值，服务端必须根据订单号重新计算金额，并在服务端做好幂等校验和风控策略，防止重放和刷单。
这个方案的完整度要和“只说一个HTTPS”拉开距离。回答设计题的核心思路是：分端思考、纵深防御、每个安全措施对应一个威胁场景。
5.3 算法题的备考策略
如果笔试中出现算法题，我的建议是优先保证能写出“暴力解法”，再优化到“更优解”。安全岗的算法题一般不太会出现Hard难度，但中等难度的动态规划和树形DP偶尔会出现。
备考时我推荐按照这个优先级准备：
- 数组与哈希表：两数之和、三数之和、最长无重复子串。
- 链表：反转链表、合并两个有序链表、环形链表检测。
- 二叉树：前中后序遍历、层序遍历、最近公共祖先。
- 动态规划：爬楼梯、打家劫舍、最长递增子序列。
刷题的过程中，特别注意用Java或Kotlin写，因为移动安全岗位的笔试通常会要求用Java/Kotlin/C/C++答题，而不是Python。我见过有人用Python刷题很熟，但笔试时只能用Java写，结果语法不熟导致超时，非常可惜。
6. 常见失分点与备考节奏建议
6.1 踩坑实录：笔试时最容易丢分的地方
结合我和周围人的实际经历，整理了几条最典型的失分原因：
第一，只懂概念不懂原理。很多同学能背出“APK签名是保证应用完整性”的结论，但一问到签名校验的时机就不清楚了。笔试不像面试，没有追问环节，所以题目往往会把概念拆得很细。复习时一定要问自己“这个结论是怎么来的，底层是怎么运作的”，而不是只背一句结论。
第二，忽视write-only的知识盲区。不少安全方向的同学对自己熟悉的方向（比如Android逆向）很自信，但做题时遇到iOS或者密码学的题就发懵。网易的笔试是统一卷，很可能同时覆盖Android和iOS，偏科是大忌。
第三，看到代码题不手写。笔试中的代码题，尤其是算法题，不写出来等于没分。很多同学习惯在IDE里跑通了才觉得自己会了，但笔试环境通常没有IDE提示，语法错误都靠肉眼查。备考后期一定要用在线笔试环境或白板模拟练习。
第四，答题没有结构。特别是设计题和漏洞分析题，洋洋洒洒写了一大段，但阅卷人找不到要点。建议用分点作答，每个点先写结论，再补充细节，比如：“风险1：URL白名单缺失，导致加载任意URL。修复方案：配置域名白名单并校验。”
6.2 三个月备考时间线参考
我建议把备考周期拆成三个阶段，每个阶段一个月，节奏比较舒服：
- 第一个月：打基础。复习操作系统、网络、数据结构三门基础课，重点补齐自己不熟的知识模块。同时把Android和iOS的基础机制过一遍，不用深挖，但要建立整体框架。
- 第二个月：攻专项。集中精力复习密码学、WebView安全、组件安全、加固与逆向基础，对每个知识点能做“概念+原理+实际案例”三层输出。这个月可以开始刷移动安全相关的面试题库和笔试题。
- 第三个月：实战模拟。每周做一套完整的模拟题，严格按照笔试时间限时完成。做完后认真复盘，把错题归类到对应的知识模块，针对短板再复习。
6.3 专业学习资源与工具清单
最后分享一些我自认为比较高效的学习资源，覆盖从入门到进阶：
- 书籍：《Android安全攻防权威指南》、《Android软件安全与逆向分析》、《白帽子讲Web安全》（虽然偏Web，但基础思路很值得学）、《加密与解密》（第4版）。
- 在线平台：看雪论坛的安卓逆向版块、先知社区的移动安全分类，刷题可以用力扣和牛客网。
- 动手实践：在自己电脑上搭一套静态分析环境，包括jadx、IDA或Ghidra、Frida，找一个开源的App练习分析，比如一些开源的小型App，尝试找到它的核心逻辑并画出调用链。动手实践是查漏补缺最快的方式。
笔试是校招的第一道门槛，移动安全岗位的笔试更是“既考广度又考深度”。按我个人的经验，真正拉开差距的不是你看了多少篇漏洞分析文章，而是你能不能把系统、协议、密码学、移动平台这些知识点串成一张完整的网。准备的时候会有一种“永远背不完”的焦虑感，这很正常，但只要你把上面这些核心模块逐个吃透，笔试时遇到大部分题目都不会觉得陌生。等你真的坐到考场里，会发现很多题不过是换了个马甲的熟悉知识点罢了。
