Awesome AppSec Interview

一份精心整理的资源、练习题和学习材料清单，按面试类型分类，帮助你准备应用安全工程师面试。

目录

• 面试概述
• 安全代码审查
• 威胁建模
• 编码与脚本
• 场景面试
• 技术知识
• 系统设计
• 行为面试（STAR）
• 相关资源
• 贡献
• 许可

面试概述

面试内容概览

大多数应用安全面试环节包括以下混合内容：

• 安全代码审查
• 威胁建模
• 编码或脚本编写
• 场景问题
• 技术知识
• 系统设计（Senior+）
• 行为面试

面试通用技巧

• 提出澄清性问题 – 问题故意模糊，以考察你的思考方式
• 出声思考 – 说出你的推理过程
• 写下要点 – 记录需求和约束
• 展示你的方法 – 过程往往比完美答案更重要
• 不要急于给出解决方案 – 先探索问题空间
• 不知道所有答案也没关系 – 展示你如何找到答案

安全代码审查

考查内容

• 从代码中识别漏洞
• 追踪数据流（来源 → 终点）
• 理解可利用性
• 提出切实可行的缓解措施

核心概念

• OWASP Top 10 漏洞及缓解措施
• 特定语言的漏洞模式
• 污点分析和数据流
• 理解代码

学习资源

• Code Review Lab – 面试风格的安全代码审查挑战
• OWASP WebGoat – 故意不安全的应用程序
• OWASP 代码审查指南
• OWASP Cheat Sheet 系列
• PortSwigger Web Security Academy

常见面试问题

• 通读这段代码并找出问题
• 为什么这段代码有漏洞（或没有）？
• 你会如何利用这个漏洞？
• 你会如何修复它？

威胁建模

考查内容

• 结构化思维
• 早期识别威胁
• 优先级与权衡
• 与工程师沟通

核心概念

• STRIDE – 欺骗、篡改、抵赖、信息披露、拒绝服务、权限提升
• 4 个问题框架
• 数据流图（DFD）
• 攻击树
• 信任边界
• 资产识别与威胁优先级排序
• 始终涵盖基础知识（例如使用 TLS 保护传输中的数据）

学习资源

视频

• 世界最短的威胁建模课程
• 20 分钟学会 STRIDE

阅读资料

• 威胁建模初学者指南
• 现代应用威胁建模
• OWASP 威胁建模

书籍

• Threat Modeling: Designing for Security – Adam Shostack

常见面试问题

• 对登录流程 / 支付系统 / API 进行威胁建模
• 如何确定威胁的优先级？
• 解释 STRIDE
• 威胁建模与渗透测试的区别？
• 什么是信任边界？

编码与脚本

编码（算法与数据结构）

考查内容

• 问题解决能力
• 数据结构

核心概念

• 数组、哈希映射、栈、队列
• 树和图（基础）
• Big-O 复杂度分析
• 常见模式（双指针、BFS/DFS）

学习资源

• LeetCode 面试速成课程 – 结构化课程
• 在 LeetCode 上练习 Easy/Medium
• 专注于模式：LeetCode 模式
• NeetCode 路线图 – 150 道核心题目
• NeetCode – 优秀的讲解
• NeetCode YouTube 播放列表
• Cracking the Coding Interview
• Grokking Algorithms

推荐题目数量

• 最低要求：50-75 道 Easy/Medium 题目
• 较有把握：100-150 道覆盖所有模式的题目
• 充分准备：200 道以上

脚本与自动化

考查内容

• 实际自动化能力
• 日志与数据解析
• 安全工具熟悉程度

核心概念

• 日志解析 – 提取 IP、域名、时间戳、用户代理
• API 交互 – 查询安全 API、提交数据
• 数据转换 – JSON/XML/CSV 解析与处理
• 模式匹配 – 安全指标的 Regex 使用
• 文件操作 – 读取、解析和处理安全数据

学习资源

• Automate the Boring Stuff – Python 基础
• HackerRank Python 技能路径 – 练习 Python 基础
• HackerRank Regex 技能路径 – 模式匹配
• ExplainShell – 理解 bash 命令

常见面试问题

• 解析 Web 服务器日志以发现可疑活动
• 查找表明扫描/枚举的模式
• 解析 Nmap XML 输出并生成报告
• 汇总多个安全工具的结果
• 在文本中查找所有 URL/IP/电子邮件地址
• 基本端口扫描器
• HTTP 头安全检查器
• 简单漏洞扫描器

场景面试

考查内容

• 安全判断力
• 沟通能力
• 风险评估
• 事件处理

核心概念

• 漏洞分类
• CVSS 与严重性
• 事件响应生命周期
• 根因分析

学习资源

• 公开的漏洞赏金报告
• 公开的事后分析博客文章

常见面试问题

• 讲述一个你发现的漏洞
• 你会如何分类这份报告？
• 解释一个最近的 CVE
• SSTI / XSS / SSRF 是如何工作的？

技术知识

考查内容

• 全面的安全知识
• 通常由高级安全工程师进行
• 会根据职位深入探讨以下某个领域

核心概念

• 密码学
  • 对称 vs 非对称（何时使用哪种）
  • 哈希
  • TLS/SSL（握手过程）
  • PKI
  • 加密、编码、哈希之间的区别？
• 认证与授权
  • MFA
  • 协议（OAuth 2.0、SAML、JWT）
  • 会话管理与攻击
  • 授权模型（RBAC、ABAC、ACL）
• Web 安全
  • 核心漏洞（OWASP Top 25）
  • 每种漏洞的缓解措施及影响因素
  • HTTP 头部
  • CORS
  • 同源策略
• 云与容器安全
  • IAM 最佳实践
  • 共享责任模型
  • 容器安全
  • 无服务器架构的安全影响
• 安全架构原则
  • 纵深防御
  • 零信任架构
  • 最小权限
  • 安全失败
  • 默认安全
  • 安全 SDLC 集成

学习资源

• Crypto101
• OWASP 加密存储备忘录
• OAuth 2.0 Simplified
• JWT.io
• OWASP 认证备忘录
• AWS 安全最佳实践
• 云安全联盟
• PortSwigger Web Security Academy
• OWASP Top 10
• OWASP 测试指南
• Secure by Design
• Security Engineering - Ross Anderson – 免费
• OWASP SAMM
• NIST 网络安全框架

系统设计

考查内容

• 默认安全的设计思维
• 可扩展性与安全性的权衡
• 实际约束

核心概念

• 大规模认证
• 速率限制与滥用预防
• 密钥管理
• 审计日志
• 纵深防御

学习资源

• Grokking the System Design Interview
• Grokking Modern System Design
• ByteByteGo - 系统设计算法 – 从这里开始
• ByteByteGo - 系统设计面试
• NeetCode - 系统设计
• System Design Interview 第 1、2 卷
• Hacking the System Design Interview

行为面试（STAR）

考查内容

• 主人翁精神
• 影响力
• 冲突处理
• 学习心态

核心概念

• STAR 框架
  • S（情境） – 背景与上下文
  • T（任务） – 你的具体职责
  • A（行动） – 你做了什么（要具体）
  • R（结果） – 结果与经验教训
• 准备 5-7 个故事
• 量化影响
• 聚焦于你的行动
• 展示成长

学习资源

• 理解 STAR 面试格式
• Tech Interview Handbook – 行为面试

相关资源

面试准备

• Tech Interview Handbook
• Grace Nolan 的笔记

Awesome 列表

• awesome-security
• awesome-appsec

贡献

欢迎贡献！直接提交 PR 即可！

指南

• 添加与应用安全面试相关的资源
• 遵循现有章节结构
• 确保链接稳定且可靠