Knowledge

Chapters for every direction the job board covers — engineering, data, design, sales, marketing, operations and more. Every topic shows how many live jobs ask for it. The first chapter is free; a paid plan opens the rest.

Track syllabus

Security / Compliance

Threat modeling, application security, IAM, cloud baselines, and compliance programs for remote security and GRC roles.

4 chapters · 803 jobs hiring now

← All tracks

Track progress 0 / 0

01 基础篇 6 topics Free

威胁建模与信任边界

面试官不是考你背 STRIDE 定义，而是看你能不能在设计阶段就把攻击面画出来，并把每条威胁转成工程上可执行的缓解项。

STRIDE 六类威胁的用法
画数据流图与信任边界
从威胁到缓解措施的闭环

Example answer

我在一个新支付服务立项时画了数据流图，把外部输入、第三方接口和内部服务之间的跨越点标成信任边界，再用 STRIDE 逐条过了一遍，最后把重放攻击和越权读取订单两个高风险项写成带负责人和截止时间的缓解清单，评审后才进入开发。

securitythreat 512 jobs hiring

OWASP Top 10 与漏洞分类

考的是你能否把漏洞清单翻译成业务影响：哪些真的会被利用、影响哪些资产、先修哪些，而不是背 OWASP 的章节编号。

Top 10 各类风险的本质
严重度与可利用性判断
把 CVE 翻译成业务影响

Example answer

我把 OWASP Top 10 当作和产品经理沟通的框架，比如把失效的访问控制讲成任何人都能读到别人的发票。排序时不只看 CVSS，而是结合暴露面和资产重要性，先修对外暴露且有数据泄露风险的，内部低风险项进常规迭代。

securityvulnerability 512 jobs hiring

注入与 XSS 防御

面试官想听的是你能否分清参数化查询、输出编码、CSP 各自防住攻击链的哪一段，而不是只会说做输入校验。

SQL 注入与参数化查询
XSS 的输出编码与 CSP
命令注入与白名单校验

Example answer

我会分三层讲：SQL 注入用参数化查询加数据库最小权限账号；XSS 按 HTML、属性、JS 上下文分别做输出编码，再用 CSP 兜底；命令注入用白名单校验、避免拼接 shell。我们有个报表功能因为拼接 SQL 出过漏洞，后来全量换成预编译语句并加了静态扫描门禁。

securitycode 474 jobs hiring

SSRF 与服务端请求安全

考的是你是否理解服务端替攻击者发请求本身就是攻击面：内网探测和云元数据凭据窃取都从这里进来。

SSRF 的攻击路径
出站流量的白名单
云元数据接口的防护

Example answer

我会先讲清 SSRF 的本质，再说防护：出站请求只能访问白名单域名，禁止跟随重定向，解析后按 IP 段二次校验，云上强制开启 IMDSv2 避免元数据凭据被读走。我们做图片抓取时因为只做了字符串前缀校验被绕过过，后来改成解析后校验 IP 并禁止访问内网段。

securitynetwork 514 jobs hiring

认证协议：SSO、OAuth 与 OIDC

面试官在确认你能把登录讲成协议：授权码流程里 code、state、PKCE 各防什么，企业客户要 SSO 时你能不能接得住。

OAuth 2.0 授权码流程
OIDC 与身份令牌校验
企业 SSO 对接与租户隔离

Example answer

我会说 OAuth 解决的是授权、OIDC 在其上加了一层身份，并画出授权码加 PKCE 的完整时序，说明 state 防 CSRF、授权码只能换一次令牌。企业客户要单点登录时，我做过从元数据配置、属性映射到租户隔离的完整对接，也处理过令牌误配导致的登录循环问题。

authenticationidentity 452 jobs hiring

授权与最小权限

授权比认证更容易出漏洞：面试官想看你会不会用 RBAC 或 ABAC 把权限建模清楚，并给出权限评审与回收的可执行机制。

RBAC 与 ABAC 的取舍
集中鉴权与策略即代码
权限定期评审与回收

Example answer

我一般从谁在什么资源上能做哪个动作开始建模：小团队用 RBAC 加资源级归属校验，规则复杂时引入 ABAC 按属性判断。权限变更走代码评审，每季度做一次多余权限回收，曾经靠这个流程清掉了一批离职后残留的服务账号和共享凭据。

accessidentity 456 jobs hiring

02 攻防篇 6 topics Member

The first chapter is free. A paid plan opens the rest.

03 治理篇 6 topics Member

The first chapter is free. A paid plan opens the rest.

04 项目故事篇 6 topics Member

The first chapter is free. A paid plan opens the rest.

A paid plan opens every chapter in this track.

The remaining chapters cover the full knowledge map and a preparation checklist.

everai · Poland

Operations

Preview

View Details