最近在整理以前的面试资料翻出2020年奇安信秋招软件开发方向的试卷3回想当年深夜刷题的日子还是很感慨。这份卷子当时做的时候觉得难后来面完几家一线安全厂商再回头看反而觉得它特别有代表性。它不是一套普通意义上的“校招笔试题”更像是一张筛选器筛掉那些只会背书、没有安全思维的开发者。如果你是准备投网络安全方向、尤其是奇安信软件开发岗的应届生这套试卷的复习价值非常大。哪怕你现在还没到秋招先把这份卷子的考点拆解看完你就知道平时该往哪个方向使劲。下面我把自己复盘时拆解的题型、考点和备考心得整理出来全程没有水分。1. 试卷整体结构与命题思路1.1 试卷形式与时间安排以2020年秋招奇安信软件开发方向的典型笔试来看第三套卷子的考试时间是两个小时系统界面上分了三个区域选择题、简答题、编程题。选择题大概20道每题1.5分简答题两道每道10分编程题三道分值从15分到25分不等。总分100分。光从分值分布就能看出来编程题是绝对的大头如果三道编程题里有两道没有完全跑通基本就和面试环节无缘了。选择题覆盖了C/C、Java、数据结构、操作系统、计算机网络这些计算机基础课。简答题里有一道是“给定一段代码分析其中存在的安全性问题并提出修复方案”这道题给我留下的印象非常深因为在普通软件开发岗的笔试里几乎不会让你去审查别人代码里的漏洞。编程题则是三道手写代码难度不算夸张但很考细节。两个小时看着不短实际上如果你选择题碰到不确定的选项在编程题上再纠结一下边界条件时间会非常紧张。我当时做完选择题已经过了40分钟后面编程题几乎是带着紧张感写完的。所以这套卷子想拿高分光会做题不够还得会分配时间。1.2 命题侧重点为什么安全公司软件开发岗的题不一样和大型互联网公司相比奇安信这类安全公司的笔试有一个非常明显的特点安全思维渗透在每一道题里。同样考字符串处理它会把题目包装成“输入校验”同样考链表它会在题目里埋一个“内存释放”的细节同样考网络协议它不会只问三次握手的状态变迁而是把SYN Flood攻击联系起来。原因也不难理解。安全软件开发工程师写出来的代码很可能要部署在防火墙、WAF、EDR这些产品里面。这些产品本身就是保护其它系统的最后一道防线如果代码再出现漏洞那产品自己就变成了攻击入口。网络安全行业常年处于攻防对抗状态开发人员如果没有一点攻击者的视角写出来的东西很难经得住真实流量考验。所以笔试看起来是在考开发基础本质上是在筛选那些有安全直觉的人。你不需要是一个安全专家但你至少要能看出“这段代码在什么情况下会被非法利用”。这种意识很多校招生是没有的这也是为什么奇安信宁可把题目出得偏“底层”一些也要把安全基因直接放进笔试题里。1.3 考察维度分布我把第三套卷子的整体考察维度整理成了下面这个表格方便你对复习重点有个直观感觉考察维度典型知识点推荐掌握程度编程语言C/C、Java基础重点复习C指针和内存管理数据结构与算法链表、二叉树、字符串、动态规划按LeetCode高频题刷操作系统进程线程、锁、内存管理、死锁能讲清原理和典型场景计算机网络TCP/IP、HTTP、DNS、三次握手能默写状态迁移过程Web安全基础SQL注入、XSS、CSRF、路径遍历理解原理并能写出修复代码系统安全基础缓冲区溢出、输入校验、边界检查知道攻击路径和防御手段这张表基本就是我当时复习的路线图。后期我几乎每天对着这张表自查每完成一个知识点就在后面打勾每周看下来心里特别有底。1.4 这份卷子对候选人的影响范围这套题的影响范围其实挺大的。首先它决定了你能不能进入下一轮面试这直接关系到秋招结果。其次哪怕你最后没有通过笔试这套题本身也是一份非常有价值的“知识地图”它告诉了你一个安全公司软件开发工程师需要具备哪些能力你后续可以按图索骥去补。我身边有不少同学当年也投了奇安信但岗位方向不一样。投Windows软件开发的、投Linux服务端开发的、投移动端开发的其实都能感觉到第二套、第三套卷子在基础题上的共性很高只是侧重点略有不同。所以不管你是哪个方向这套试卷的拆解对你都有参考意义。2. 核心知识点拆解从基础到安全的四层考察2.1 第一层编程语言与代码能力奇安信2020年第三套卷子里的主语言明显是C/C。为什么是C/C因为安全公司的底层产品、协议解析、内存缓冲处理大多要用C/C实现。你要写一个网络抓包模块要解析数据包里的TCP头、HTTP头用Java或Python不是不行但性能和底层控制差得太多。所以笔试题里大量出现C/C相关题目是有道理的。题目里有一道比较经典的题写一个函数将输入的十六进制字符串转换成十进制整数。这种题看着简单但里面有好几个隐藏考点输入合法性判断、空指针处理、大小写字母兼容、溢出检查。当年我写完主逻辑就交卷了结果漏了非法字符返回的情况属于典型的“会但不全”。这种题考得很细其实就体现了安全软件开发的习惯。安全产品的所有入口都面对不可信的输入你不能假设用户会乖乖传一个合法的十六进制字符串进来。如果这个函数最终用在安全产品里攻击者可能会传一个超长字符串、一个空字符串、甚至一个包含空字节的字符串任何一步处理不当轻则功能异常重则变成漏洞。2.2 第二层数据结构与算法数据结构这道坎绕不开。选择题会考栈和队列的区别、二叉树遍历方式、哈希冲突的解决办法难度和小型算法竞赛的入门题差不多。编程题则偏向基础算法和经典题型比如反转链表、判断括号匹配、求连续子数组的最大和。我的感觉是奇安信的算法题虽然不会出特别偏的题但很考验代码规范。比如反转链表递归和迭代都能写但面试官会从代码里看你有没有链表为空的判断有没有清晰的结构体定义。如果你的代码里结构体定义都写不清楚哪怕思路对了也会很减分。另外安全公司背景的笔试会让你考虑大数据量下的效率。如果时间复杂度太高测试用例跑不完就是零分。我在复盘时发现很多人不是不会写而是写出来的解法复杂度太高比如用两层循环去处理一个字符串匹配问题其实就是没有把KMP或者哈希的思路想清楚。这种问题平时刷题时就要有意识去避免。2.3 第三层操作系统与计算机网络操作系统和网络在选择题里占了很大比例。进程和线程的区别、虚拟内存、死锁四个必要条件这些是必背项。网络部分则爱考TCP三次握手和四次挥手的状态迁移、为什么TIME_WAIT要等2MSL、DNS查询流程、HTTP和HTTPS的差异。这些都是计算机基础课里的重点没什么好说的背熟并且能理解原理就行。但如果是安全公司的题它还会把网络题和安全题结合起来。比如“SYN Flood攻击的原理是什么如何防御”这种题既考察TCP连接队列的基础知识也考察安全防护的思维。我在复盘的时候就发现如果只是死记硬背状态变化不懂攻击原理是答不好这类题的。我建议复习网络时不要只看协议本身要问一个问题如果这个协议被攻击者恶意利用了会发生什么比如TCP三次握手攻击者不回复第三次握手大量发送SYN包就能把服务器的半连接队列占满。你在背“SYN_SENT、SYN_RCVD、ESTABLISHED”这些状态时如果能顺手想一遍攻击场景笔试遇到这类题就完全不怕了。2.4 第四层网络安全与漏洞思维这一层是奇安信笔试区别于普通互联网公司的核心所在。即使是软件开发方向也会出现Web安全基础题比如SQL注入、XSS、CSRF、路径遍历、文件上传漏洞。其中路径遍历这个考点尤其值得展开说。路径遍历Path Traversal的核心问题是Web应用的代码把用户输入的路径直接拼接到文件系统路径中没有做过滤。攻击者可以传入“../../../../etc/passwd”最后拼接出来的路径就会跳出预期的目录从而读取任意文件。笔试里会给你一段Java代码让你找出漏洞并修复。修复的核心思路就是做规范化路径校验确保最终路径仍然在允许的根目录下。这种题的考点不在于你读过多少漏洞报告而在于你有没有把代码审查当成习惯。我在拿到试卷的时候本来想着“这不是一个简单的文件读取功能吗”但后来仔细一看发现路径拼接完全没有做边界限定顿时明白出题人想考什么了。这种意识比多背几个漏洞种类重要得多。安全思维还体现在另一个地方就是代码审计题。试卷会给你一段登录代码里面可能存在拼接SQL、明文存储密码、缺少验证码防暴力破解等问题。你需要指出问题并且给出修复建议。这道题当年我几乎拿满了一半分靠的是自己平时写代码时就带着安全自查的习惯。3. 编程题实战复盘与解题思路3.1 典型题一字符串处理与输入校验编程题的第一题我印象里是要求实现对用户输入的用户名字符串进行合法性校验长度在8到20之间只能包含字母、数字和下划线第一个字符不能是数字。这题其实在考字符串操作和边界条件。我当时写的核心思路是bool check_username(const char *s) { if (s NULL) return false; int len 0; while (s[len] ! \0) len; if (len 8 || len 20) return false; if (s[0] 0 s[0] 9) return false; for (int i 0; i len; i) { if (!isalnum(s[i]) s[i] ! _) return false; } return true; }这里要注意几个坑。第一判断是不是字母数字时很多人会用s[i] a s[i] z这种范围判断虽然也能用但容易漏掉大小写最好直接用ctype.h里的isalnum它是跨平台且覆盖完整的。第二参数为空指针时必须先判空再操作否则整个程序直接崩溃。第三有些版本会要求你处理中文字符在UTF-8编码下一个中文字符占三个字节不能用单个字节的值去判断字符类型。题目没明确要求的时候把英文字符集处理好就行但思路里要有这个意识。这道题让我想起一个很典型的教训我在第一版代码里只判断了长度和字符范围忘了判断空指针。后来自测的时候传入一个NULL指针程序直接段错误。这要是真实产品就是崩溃级漏洞。所以从那时起我写任何函数第一步永远是考虑非法输入怎么处理。3.2 典型题二链表反转与内存安全第二道编程题是链表反转但限定条件比较麻烦链表节点定义里除了next指针之外还有data域并且要求不能申请额外内存空间。也就是说你必须用迭代或者递归的方式在原地完成反转。写迭代版本的时候基本上就是三指针法typedef struct Node { int data; struct Node *next; } Node; Node* reverse_list(Node *head) { Node *prev NULL; Node *cur head; while (cur ! NULL) { Node *next cur-next; cur-next prev; prev cur; cur next; } return prev; }这道题代码量不大但很多人会在边界条件上翻车。一个是空链表的情况head为空直接返回NULL就行了不需要进入循环。另一个是单节点链表走一遍循环之后返回的应该是head本身。还有就是千万不要在反转过程中把next指针搞丢这是初学者最容易犯的错。我见过有人把cur-next先改了再去取next结果链表直接断了。为什么安全公司喜欢考链表反转这类题因为安全产品的很多底层功能比如数据包的链表解析、缓冲区的多级指针管理都用得上这些基本功。你连链表都反转得手忙脚乱那真要你去处理一个数据包队列大概率要出问题。3.3 典型题三限流器的设计与实现第三道编程题比较有意思和安全产品很贴合高并发场景下请实现一个简单的固定窗口限流器每个窗口内最多允许N个请求。这个题看起来像服务端开发题但安全产品的API接口同样需要限流不然很容易被刷爆。我当时给出的实现是一个基于时间戳的简单版本class RateLimiter { private int maxRequests; private long windowSizeMillis; private long windowStart; private int count; public RateLimiter(int maxRequests, long windowSizeMillis) { this.maxRequests maxRequests; this.windowSizeMillis windowSizeMillis; this.windowStart System.currentTimeMillis(); this.count 0; } public synchronized boolean allow() { long now System.currentTimeMillis(); if (now - windowStart windowSizeMillis) { windowStart now; count 0; } if (count maxRequests) { count; return true; } return false; } }固定窗口限流器有一个明显的问题临界突发。比如窗口是1分钟最多100个请求如果在第59秒打了100个请求第61秒又打了100个请求它们分布在不同窗口里但实际上一瞬间涌入了200个请求。面试官往往会追问你怎么解决这时候可以提滑动窗口和令牌桶。滑动窗口把窗口细分成多个小时间片令牌桶则用固定速率填充令牌允许一定程度的突发。实际产品里后者用得更多。这道题拿分的关键不只是写出一个能工作的限流器还要能说出它的缺陷和优化方案。我当时虽然把固定窗口写出来了但当面试官追问临界突发时脑子里瞬间空白后来才想起滑动窗口和令牌桶的概念。复盘时我深刻意识到基础算法的局限性和适用场景往往比算法本身更值得记。3.4 如何高效复习编程题编程题在笔试中的占比很高复习效率决定了你能不能做完卷子。我建议按优先级分三块准备。第一优先级是字符串操作、链表、栈、队列。这些是安全软件开发常碰到的数据结构出题频率最高。第二优先级是哈希表、二叉树、排序这些在选择题和简答题里也经常出现掌握基本操作和复杂度分析就够。第三优先级是动态规划和贪心这块主要应对压轴题不需要刷太多但经典题型要见过。刷题方式不建议无脑刷LeetCode数量。更重要的是卡时间模拟笔试尤其是编程题40分钟内要完成读题、思考、写码、自测全套流程。我身边有人刷了三百题但真到笔试时因为紧张写不出来就是因为平时没有限时训练没有形成肌肉记忆。4. 备考计划与时间分配经验4.1 三轮复习法框架针对奇安信这类网络安全公司的软件开发岗我建议准备周期至少四周分三轮。第一轮是基础扫盲用一周半左右的时间把计算机网络、操作系统、数据结构的高频考点过一遍。这一轮不追求深度重点是“见过、知道、说得清楚”。你可以参考你平时上课积累的框架也可以找相关面经整理出考点清单。我当年把选择题可能考的知识点全部列成了Excel表格每个知识点旁边标注掌握程度然后每天消灭几个。第二轮是代码强化用一周半左右的时间集中刷题每天固定2到3道编程题重点做字符串、链表、二叉树、动态规划这些题型。刷题时要真正动手在本地编辑器里写不要只看题解。看题解是一件非常有迷惑性的事情你以为自己会了关上答案再写一遍大概率还是卡壳。第三轮是模拟冲刺最后一周严格按照考试时间做2到3套模拟卷尽量模拟真实笔试环境开摄像头、限时、手打代码。我在这个阶段发现自己的问题不是不会写而是写得太慢一道反转链表都要磨蹭十几分钟。后来每天限时做一道中等难度题速度就上来了。4.2 刷题渠道与资源推荐刷题的渠道很多我说几个自己用下来比较顺手的。LeetCode是主力刷题平台按题型和难度梯度刷适合系统训练。牛客网的企业笔试题库很丰富可以搜到很多公司往年的真题熟悉出题风格。力扣中文站的题解质量高评论区常有多种解法对比适合拓展思路。如果你网络和操作系统基础薄弱还是要把《计算机网络自顶向下方法》和《操作系统概念》的核心章节过一遍单纯刷题不够。其实还有一个很管用的资源就是你目标公司的技术博客和产品文档。奇安信有大量关于Web安全、终端安全、攻防技术的文章读这些不仅是为了押题更是为了理解对方产品的技术栈和思考方式。我记得自己刷完那些技术文章后再回头看他家的笔试题明显感觉出题人脑子里想的是什么。4.3 模拟考试的重要性模拟考试这件事很多人会忽略但它真的很关键。我第一轮复习完之后信心满满结果第一次模拟的时候就翻车了选择题犯了低级错误编程题第二道写了半天最后发现是编译环境的问题。通过模拟考试你能提前发现几个问题。一个是时间分配不合理选择题花太久导致编程题没时间。另一个是手写代码速度慢平时有IDE提示笔试环境很简陋很不适应。还有就是边界条件考虑不全测试用例比你预想的要严苛。最后一个很微妙心态容易崩一道题卡住就影响了后续的思考。我的建议是模拟考时尽量用和真实笔试一致的在线编辑器不要用本地的IDE补全功能让自己先适应“裸写”的感觉。我一开始觉得裸写很不习惯总想着让IDE帮我补全但模拟了几次之后手写代码的速度和准确度都有了明显提升。5. 现场笔试的常见问题与避坑清单5.1 时间分配容易翻车的三个节奏问题笔试翻车最常见的原因就是时间分配。第一题有时候特别简单容易让人掉以轻心结果在选择题上纠结太久。我复盘过几次失败经历总结出来的节奏是这样的拿到卷子先花2分钟把所有题目扫一遍评估一下难度分布选择题控制在40分钟左右每题尽量不超过1分钟简答题留15分钟抓住关键点回答编程题留60分钟以上给每道题预留出思考和调试的时间。如果某道编程题卡了超过15分钟我的做法是先跳过赶快把后面的题写完最后有时间再回头啃。千万不要在一道题上死磕笔试考察的不只是能力还有策略。我在第三套卷子的时候有一道题想了很久没思路后来果断跳过先写完了后面简单的题最后回头再看那道题反而豁然开朗。5.2 边界条件与编译器细节边界条件是编程题的隐形杀手。空输入、单元素、极端大数、重复元素、负数这些都是出题人喜欢埋雷的地方。写完代码后一定要自己做两个简单的测试用例比如输入为空的情况输入为最大边界值的情况。编译器细节也值得一提。部分在线笔试平台默认使用C11我遇到过同学用C17的特性导致编译失败的情况。Java考生则要小心主类名称必须为Main否则全部判零。这些细节看起来微不足道却足以让你丢掉整道编程题的分数。我在模拟考时就出现过一次主类名写错了整个Java文件一行代码没跑。5.3 笔试环境的适应技巧在线笔试的环境通常和你平时开发很不一样没有IDE的自动补全没有格式化工具甚至没有网络搜索。为了适应这种环境我建议平时练习时就故意“裸写”打开一个简单的文本编辑器关掉代码提示纯手写代码。另外要注意浏览器兼容问题有些笔试平台对Chrome和Firefox的兼容性较好但对其他浏览器支持一般。最好提前用目标浏览器登录模拟环境测试避免考试时加载不出题目。还有一个容易被忽略的地方就是摄像头权限。很多在线笔试要求开摄像头监控如果你电脑摄像头驱动有问题考试前别提多狼狈。还有一个小技巧笔试前把可能用到的模板代码准备好快排模板、二分模板、二叉树遍历模板。倒不是鼓励作弊而是让自己在时间紧张的情况下能快速进入状态。只要保证代码是自己理解的这个做法非常实用。5.4 特殊情况遇到不会的题怎么办笔试最让人心态崩的时候是遇到完全没有思路的题。我的解决办法是先把题目中能确定的信息写出来比如输入输出格式、复杂度要求然后尝试分步拿分。很多在线笔试的编程题是部分通过的也就是说如果你能处理一半的测试用例也能得到一半的分数。所以即使不会完整解法也可以把暴力解法写出来拿到基础分。比如动态规划题不会优化就先写朴素递归至少能跑通小数据量的测试用例。安全公司的笔试尤其看重代码的健壮性你哪怕只拿一个朴素解法只要边界条件处理得好分数也不会太难看。6. 个人复盘总结6.1 对2020年试卷3的整体感受整套卷子做下来我的感受是它不像普通互联网公司那样只考通用开发能力而是明显带安全基因。试卷里的选择题有时会结合攻击手段去问基础概念编程题也经常把输入校验、内存安全、限流这些问题包装进去。对于2020年的应届生来说这份卷子的难度属于中上但只要你把基本功打扎实再补一点安全常识拿高分的概率并不低。这份卷子让我真正意识到网络安全方向的软件开发不是“会写代码”这么简单。它要求你在写每一行代码的时候都能想到这行代码可能被谁攻击、怎么被攻击、产生什么后果。这种思维方式很难靠突击形成需要平时就有意识去培养。如果你现在还在准备奇安信或者类似安全厂商的软件开发岗我建议你在复习算法和操作系统的时候多问自己一句“这个知识点如果被攻击者利用会产生什么问题”。这个思维转变可能比多刷几十道题更有用。6.2 给后来人的实用建议最后再分享一个我个人的小心得笔试前一个星期我每天会花20分钟浏览安全圈的漏洞公告和技术文章不求记住细节只求培养那种“看到代码就本能地去找输入点、找风险点”的感觉。这套方法不一定适合所有人但对我这种容易把安全知识点和开发基础割裂的人来说确实有效。模拟考试时我记得自己最紧张的不是算法题而是面对一道看似开放式的简答题——如何保护用户密码。我把平时积累的哈希加盐、慢哈希算法、防暴力破解、HTTPS传输保护全部写了进去那一刻我才意识到安全思维不是额外负担而是软件开发本身的一部分。我后来在复盘文档的最后写了一段话如果你的目标是一家安全公司千万不要把安全当成一门单独的课它应该成为你写代码时的本能。这句话到现在还放在我的桌面备忘录里。秋招的卷子会一年比一年难但底层逻辑不会变——把基础打牢把安全思维刻进去机会自然就来了。