2026 年 2 月到 5 月在 4 家公司跑了 loop。AppSec / security engineering 岗，senior IC 级别。分享一些共性，因为 security 的面试内容相比 SWE 真的是太缺文档了。
几乎所有公司都会问： OWASP Top 10。不是让你背清单，而是场景题。「你团队里的 junior dev 上线了这段代码，你会抓到什么问题？」 Threat modeling。尤其是：你怎么做、用什么 framework（STRIDE 经常出现）、你怎么给 findings 排优先级。 Incident response 场景。「你凌晨 2 点被 pager 叫醒，发现可疑的 egress 流量。带我走一遍你前 30 分钟会怎么做。」 Secure design review。他们给你一张架构图，让你找薄弱点。这一轮最容易让那种只会背 CVE、但结构化思考不行的人崩掉。
各公司差异： 有一家（我就说中型 fintech，不是 FAANG）有专门的 cryptography 轮。对称 vs 非对称、key management、TLS handshake 靠记忆复述。不常见，但如果你投金融或偏 infra 的岗位，值得会。
有一家完全不考 coding，全是 design 和 behavioral。另一家有两轮 coding（标准 LC 风格，不是 security 专题）。两种都可能，得都准备。
我拿到 offer 的原因： 把 tradeoff 讲具体。「这个 control 能抓到 X，但会增加 Y 的 latency，还需要 Z 团队改他们的部署流程。」只说「我们加 authentication」不算答案。说「我们在 API gateway 做 JWT 校验，15 分钟过期，为什么这个 threat model 下这样有效」才算。
没用的方法： 想秀广度而不是深度。有一轮我试图证明我懂 12 个 security 领域，他们其实只想让我把 2 个讲透。那轮没拿到 offer。
如果大家对某类公司或岗位 scope 有问题，我也愿意更细聊。