security 是一个特别容易让人有冒名顶替综合征的领域，因为它的覆盖面确实是无限的。每周都有新的 CVE。新的攻击向量、新的合规体系、两年前还不存在的云原生威胁。你可以在 AppSec 上非常强，但对硬件安全几乎一无所知。你可以把 OWASP top 10 玩明白，却在 threat modeling 上很吃力。你可以是很强的 pentester，但在 detection engineering 上很弱。
这个领域太大了，不可能全部懂。也就意味着你会一直觉得自己漏了东西，因为你确实漏了。
这会制造一种很特别的冒名顶替综合征：解决办法（「再变强点」）也不能彻底奏效，因为这个领域的变化速度永远比你学习得更快。你变强了，门槛也被抬高了。
我做 AppSec 7 年了。到现在我还是经常遇到一些领域，我必须说「我不知道，我去查一下」。以前这件事会让我很困扰。现在困扰少了，原因只有一个：
我重新定义了这份工作。我的工作不是知道一切。我的工作是知道去哪里找答案，什么时候需要拉一个专家进来，如何在不确定性下评估风险，以及如何清晰地沟通我知道什么、不知道什么。这些东西我是可以真正做好的。
在知识边界无限的领域里，那种冒名顶替感往往是一种类别错误。你拿自己去对标一个不可能达成的标准（完全的知识），而不是这份工作的真实标准（有效地在不完整知识下做导航）。
如果你在 security、医学、科研、法律，或者任何知识面没有边界的领域：目标不是让你不再觉得自己不是全都懂。目标是让你对自己负责的那一小块做到很强，对其他部分保持谦逊并且反应很快。