Java安全开发工程师

岗位职责
1、负责软件应用、Web 系统、接口、小程序 / APP全生命周期安全，深度参与软硬件系统从架构设计、开发测试到上线运行的全过程安全防护工作；
2、开展代码审计（源码审计），挖掘业务代码、框架、第三方组件安全漏洞，给出修复建议与编码规范；；
3、进行白盒审计 + 黑盒渗透，深挖逻辑漏洞、业务越权、接口滥用、参数篡改、业务绕开等应用层风险；
4、跟进开源组件漏洞、中间件 / 框架漏洞，做版本核查、漏洞溯源、批量加固整改；
5、自研 / 编写安全检测脚本、POC/EXP、自动化扫描工具，提升安全检测与漏洞复现效率；
6、配合等保、合规检查，梳理应用安全基线，输出代码安全规范、开发安全手册，赋能研发团队；
7、安全应急响应，对应用入侵、代码后门、webshell、数据泄露事件做溯源分析与清除加固。
任职要求（重点强化代码 & 开发能力）
1、本科及以上，计算机、信息安全、软件工程相关专业，1-3 年应用安全 / 代码审计 / 渗透测试经验；
2、扎实代码基础：熟练读懂并审计 Java/PHP/Python/Go/C# 至少 2 种主流开发语言源码；
3、熟悉常见开发框架：SpringBoot、Struts、ThinkPHP、Laravel、FastAPI 等框架漏洞与安全机制；
4、精通 Web 应用漏洞原理，不仅会挖通用漏洞，擅长挖业务逻辑漏洞、代码层底层漏洞；
5、能独立做白盒代码审计，熟练使用代码审计工具，可从源码层面定位漏洞根因；
6、熟练 Python 脚本开发，能独立编写扫描脚本、POC、批量检测工具、日志分析脚本；
7、熟悉 Linux 环境、编译部署、中间件（Nginx/Tomcat）、数据库原理，了解代码编译、打包、依赖管理；
8、熟练 BurpSuite、漏洞扫描器、代码审计工具、版本控制 Git，会逆向、APP 加固逆向者优先；
9、具备良好逻辑思维，能输出专业代码审计报告、漏洞修复方案，能给研发做代码安全培训。
优先项
1、有大型项目代码审计、SDL 安全开发流程落地经验；
2、有漏洞平台公开漏洞提交、 SRC 漏洞挖掘成果；
3、熟悉容器、微服务、API 网关、OAuth/JWT 等应用安全；
4、持有 CISP-PTE、CISP-IRE、注册代码审计相关证书优先。