1. 困扰很多求职者的问题：缺口数字很大，招聘却搜不出几个
这些年网安行业有个很奇特的现象：安全厂商和行业报告年年说人才缺口以数十万计，但真正打开招聘软件搜索“网络安全工程师”、“渗透测试”这类关键词，跳出来的岗位数量却少得可怜，薪资范围还经常看不懂。我身边经常有准备入行的朋友拿着报告来问我：缺口到底在哪？为什么我能投的岗位这么少？
这其实并不是报告造假，也不是岗位真的消失了，而是“人才缺口”和“招聘需求”这两组数据，根本就不是一回事。报告统计的是整个安全体系里缺人手的岗位类型，招聘平台上展示的是企业已经发布、正在招的HC。前者覆盖了大量还没有被企业意识到的预算空缺，后者则是企业财务审批通过后真正放出来的坑位。
这篇文章我想把这件事彻底拆开，从岗位定义、招聘筛选、预算周期、学校教育和入行路径五个角度，结合我自己这些年看到的真实情况，说说为什么网安看起来缺口很大，求职者却感觉招聘很少。如果你是一名准备入行或正在找安全工作的新人，这篇文章值得你花十分钟读完。
另外多说一句，这篇文章只讲行业现象和职业路径，不涉及任何具体政策背景，纯粹从从业者的视角来做客观分析。
1.1 先弄懂一个前提：几十万缺口是怎么算出来的
行业内讲到人才缺口，通常引用的是权威机构发布的调研报告。报告在统计时，会把企业里所有和安全相关的岗位都算进去，包括安全运维、安全开发、合规审计、数据安全、云安全、隐私保护、安全运营，甚至部分嵌入式设备安全岗位。统计口径是整个产业缺口，而不是“目前正在发布招聘的岗位总量”。
举个例子，一份报告可能测算某地区需要二十万个安全从业者，现有从业者只有一半，于是得出缺口十万。但这个测算过程默认了每家单位都应该建立一个完整的安全部门，而现实里很多中小企业只有一两个安全负责人，甚至直接由运维或法务兼着。真正预算充足、愿意大规模招人的企业，远远没有报告假设的那么多。
这里还有一个被忽略的数据：缺口大并不代表岗位多，反而说明行业里大量在职者是由其他岗位转岗过来的。在甲方公司，安全岗经常被并进运维部、基础架构部或数字化转型部门，看招聘平台的岗位归类，你甚至搜“网络安全”都搜不到这些编制。这也是为什么搜索关键词时，结果里全是安全厂商和外包驻场，而真正的大型企业自建安全团队几乎没有出现在搜索结果里。
1.2 招聘少与缺口大的错位感，根源在岗位预算
企业真要招安全工程师，先要有编制和预算。预算的审批逻辑很简单：安全部门不能直接产生收入，它是在降低风险、满足合规。这种定位在市场行情好的时候还能拿到钱，行情一波动，最先被冻结的就是安全岗招聘。举一个我实际见过的例子，某家做电商业务的公司，年中复盘后决定转型，安全团队的预算直接砍了一半，原本计划招的安全开发岗位放到了明年，而渗透测试工作改由外包支撑。
也就是说，“缺口”是一个产业能力上的缺口，而“招聘”是一个企业财务上的现实决策。二者之间存在一个很大的折算系数。开发岗缺人，企业马上就能感受到交付进度受影响；安全岗缺人，企业通常要到出了事件才真正感知到问题。多数日常运营场景里，少一个人好像也看不出明显差别，这就导致安全岗位的招聘优先级长期低于业务岗位。
再加上安全行业本身的特殊性，同一岗位在不同规模的企业里，技能要求差异极大。大厂要的是单点拔尖的专家，中小公司要的是什么都会的全能选手。岗位要求写得越复杂，能匹配的人就越少，招聘HR反馈给管理层的结论是“市场没有合适的人”，于是在继续招和干脆不招之间，很多企业选择了后者。
2. 岗位定义错位：搜索不到，不是因为岗位不存在
很多新人以为在招聘平台搜“网络安全”就能看到全行业的岗位，实际操作上这个搜索方式本身就是错的。安全岗位的命名、归类、隐藏属性，会让大量机会根本不出现在搜索结果里。
以我见过的岗位JD为例，安全运维可能挂名叫“网络工程师”，负责日志分析和防火墙规则的岗位挂名叫“运维工程师”，做数据脱敏的挂名叫“后端开发”，写隐私评估文档的挂名叫“法务专员”。这些岗位没有“安全”两个字，但日常工作的核心全是安全内容。只有当你主动去搜索相关的技术术语，比如“WAF策略”“日志分析”“零信任”，才有机会看到这些岗位。
岗位发布渠道也在影响搜索结果。大型甲方公司通常把安全岗位放在官网招聘页或内部推荐系统，只有长期招不到人的岗位才会外包到第三方招聘平台上。而那些放到平台上的岗位，往往薪资不足以吸引资深从业者，长期挂着不更新，表现形式上像是在“招人”，实际上已经停止推进了。
这里有一个很有意思的现象叫“静默招聘”。企业内部缺人是真实的，但团队负责人不想公开挂牌招聘，因为上级审批流程复杂，或者团队对候选人的画像极其模糊，根本不知道自己要招什么样的人。于是这些需求被压在心里，或者只是在内部社群和朋友圈里发一句话。外部求职者看到的招聘池，永远小于真实的岗位池。
2.1 为什么职位漏斗在安全行业里格外窄
和开发岗位相比，安全岗位从编制到发布，漏斗的每一层都在缩水。开发岗的缺口能直接换算成业务进度和产品质量，一旦产品上线计划确定，人才需求就必然释放。安全岗则不同，它的需求很多时候是“项目制”的，完成等级保护测评、通过一次渗透测试、上线一套日志系统，需求就阶段性结束了。
也就是说，安全岗位的工作增量不是持续性的，而是和合规周期、事件周期、系统建设周期绑定在一起。合规测评做完之后，团队可能只需要一两个日常维护的人，其余人员需求就冻结了。这种项目型需求天然导致岗位数量远低于业务开发型团队。
另一个挤压岗位数量的因素，是安全服务外包的成熟化。几乎所有安全建设环节都有对应的乙方服务，渗透测试可以外包、安全运维可以托管、日志审计可以云端订阅。甲方只需要保留少数管理型人员，直接把大量执行型工作外包出去。于是甲方自建团队的招聘需求被压缩，而乙方外包团队又不以“招聘大量内部工程师”的方式存在，很多执行工作都走项目分包。
结果就是求职者感觉岗位很少，但承接外包业务的那些小型团队其实常年缺人。只不过这些小团队的岗位不会广泛发布，更多是靠熟人推荐、社群招募和项目群内部消化。整个行业的招聘通道，并不是一个完全市场化的公开渠道。
2.2 招聘要求写得太全能，把人直接吓退
我特意统计过一些安全岗位JD里的高频词，常年霸榜的是这几组：渗透测试、代码审计、应急响应、安全合规、日志分析、DevSecOps、安全开发、等级保护、ISO27001、数据安全。单个看每一项都合理，但放在同一个岗位里就完全是“找六边形战士”的逻辑。
这类JD出现的背景，是很多中小公司只想找一个人承担整个安全体系。这个人既要懂攻防，能打比赛、出渗透报告；又要懂合规，能和测评机构对接；还要有一点开发能力，能把安全工具集成到CI/CD流水线里。这种岗位要求本质上不是一个初级工程师能胜任的，也不是一个资深专家愿意接受的，于是HR在人才库里捞了一圈之后发现根本招不到人。
而真正具备多项能力的安全从业者，通常已经有了稳定的职业路径，比如在大厂做专门的渗透测试，或者在安全厂商做产品支持。他们看这类“全能岗”的劣势非常清楚：一个人干三个人的活，薪酬却只给一个人的钱。所以这类岗位挂在平台上的时间极长，要么迟迟不招到人，要么招到的都是过度承诺、实际经验不足的候选人，试用期结束又离职，形成恶性循环。
这里还要提一个安全行业特有的问题：安全攻击技术更新极快，三年前的岗位技能到今天可能已经部分失效。企业写JD的人如果不懂技术，写出来的要求往往是过时或偏离实际的。候选人看到JD里大量无关的证书要求、过时的工具名称，第一反应就是这家公司不靠谱，于是连投递的兴趣都没有。这种“JD导致的反向筛选”，也在客观上让有效求职者数量大幅减少。
2.3 甲乙方分化：岗位确实存在，但通道不同
安全行业的用人单位大致可分为两派：甲方是使用安全产品和服务的企业，乙方是提供安全产品、服务和咨询的公司。这两类机构对人才的需求逻辑差异非常大。
甲方招人，讲究稳定性和体系化。他们倾向招有一定经验的成熟工程师，最好能独立负责某一块安全能力建设。对于应届生和转行者，甲方通常兴趣不大，因为没人带你、没时间教你。这就导致甲方放出来的岗位并非完全没有，而是几乎不会出现在面向新人的渠道里，往往优先走内部转岗、员工推荐和猎头路径。
乙方招人，数量上其实很多，但岗位载体不同。乙方招的是渗透测试工程师、安全服务工程师、安全研究工程师这类典型的“项目交付型”工作。岗位依赖项目周期，项目多的时候大量招人，项目结束或青黄不接时立刻收缩。许多乙方公司一年内招聘人数波动可以超过一半，求职者恰好在收缩期找工作，就会觉得整个行业都没有机会。
所以甲乙方并存的状态，并没有让人感受到“缺口”的充裕，反而进一步拉大了预期差。一个真实的求职窗口，可能只在特定时间、特定地区、特定技能方向上存在。新人如果没有意识到这种分化，只盯着大平台搜索安全关键词，看到的结果自然少得可怜。
3. 招聘筛选机制的微妙影响：不是没岗，是你看不见
除了岗位发布层面的原因，招聘筛选机制也在悄悄影响安全岗位的“可见数量”。很多企业实际上愿意为安全人才付费，但HR流程、筛选模型和管理者认知，都可能把合适的候选人挡在门外，也让实际发出的offer数量看起来很少。
3.1 HR关键词筛选与简历“黑话”——第一道隐形门槛
大型企业的招聘流程通常由HR先做第一轮简历筛选。HR不一定是技术出身，她们筛简历时依赖的是关键词匹配：CISP、CISSP、CVE编号、护网经验、等保测评、渗透测试项目、Python代码能力等。如果简历里没有这些高频关键词，哪怕候选人实际能力很强，也可能根本到不了技术面试官手里。
这带来一个非常反直觉的现象：行业里真正的“缺口”存在于实干型工程师，而HR简历库里的“匹配人才”却可能是证书很多但实操空洞。当企业用关键词过滤后，发现简历数量少得可怜，就会误判为“市场上安全人才极度稀缺”，进而提高薪酬预期、扩大搜索范围。但如果你真的去看看这些企业最终招到了什么人，会发现他们招的往往是证书型选手。
对求职者来说，这一关的可操作性其实很强：把你的项目经历、实习经验、实验室项目、CTF比赛成绩、漏洞报告编号，全部翻译成HR能识别的关键词，并放在简历前三分之一的位置。不要写“熟悉常见安全工具”这种模糊表述，要写“使用Burp Suite完成XX系统渗透测试，发现SQL注入与越权漏洞并协助修复”。简历里的“可见度”提升了，进入面试的比例也会高很多。
3.2 安全岗位的能力评估方式，直接筛掉了大量候选人
安全岗位的面试方式和其他技术岗差别很大。开发岗可以用代码题、项目经历来做能力评估，安全岗面试则常常直接进入实战场景：给一个环境，让你现场找漏洞；给一份日志，让你还原攻击路径；给一个漏洞样本，让你分析利用原理。
这种评估方式对应聘者的经验要求极高。如果你是转行者或应届生，没有真实参与过安全应急或渗透项目，很容易在面试现场露出短板。而企业又不愿意降低评估标准，因为安全岗位的容错率极低，招进来的人不靠谱，造成的风险比普通岗位高出几个量级。
于是这里出现一个结构性矛盾：行业缺人，但缺的是有实战经验的人；愿意培养新人的公司又太少。安全行业本质上还是一个“师傅带徒弟”的传统模式，但多数团队根本没有带新人的预算和耐心。结果是新人在求职时感觉岗位少，企业招人时感觉人太少，双方都觉得自己亏。
这里想给新人一句掏心窝的话：如果现在进不了企业安全岗，先去安全厂商做售后支持、做质量管理、做文档交付，一样可以积累行业经验。很多安全技术专家的第一份工作，都是从最基础的边缘岗位开始的。先把脚踩进这个行业，后面的事就好办了。
3.3 证书与学历偏好的真实权重
关于证书，安全行业有一种评价分裂。招聘JD里普遍写着“持有CISP/CISSP证书者优先”，但工作三五年之后你会发现，真正决定职业天花板的根本不是证书，而是实战项目经验和解决问题的能力。证书在简历筛选阶段的作用远大于在实际工作中的作用。
对新人来说，我的建议是不要把证书当成求职的万能钥匙。如果你连最基础的TCP/IP、HTTP协议、Linux命令、Web漏洞原理都没学扎实，考再多证书也很难通过技术面。反过来，如果你真的通过CTF比赛、漏洞挖掘、项目实训做出了可展示的作品，哪怕没有证书，很多技术负责人也愿意给你面试机会。
学历的影响则更微妙。大厂安全团队和国企安全岗对学历有硬性门槛，通常要求本科起步，部分核心岗位会卡硕士。但中小企业和安全厂商对学历的容忍度明显高很多，它们更看重你是不是能直接上手干活。如果学历不占优势，一个实用的策略是避开大厂校招统招通道，走社招、内推、项目合作等方式，或者先去乙方积累一两年经验再考虑跳槽。
4. 预算周期和行业热度波动，安全岗位时有时无
就算岗位定义和筛选机制都理清了，还有一个底层因素在影响招聘数量：安全的预算周期和行业热度的波动。这一点对求职者来说几乎无法控制，但理解了它，至少不会在错误的时间点自我怀疑。
4.1 安全不能直接赚钱，预算天然排在业务后面
安全团队在企业里的定位是“保障性部门”，核心任务是减少损失、满足合规、保证系统稳定。它的价值很难用营收指标衡量，所以预算审批时天然处于弱势。业务部门说“新增一个功能能带来多少转化”，安全部门只能说“不投入可能面临什么风险”，前者是确定收益，后者是概率损失。在企业决策者的天平上，前者永远更容易通过预算。
这就导致安全团队的岗位数量和经济周期强相关。经济上行期，企业愿意把资金投向探索性项目，安全岗位有一定增量；经济下行期，企业首先收缩的就是“看不到收入”的部门。从招聘平台的岗位数量来看，安全岗位的波动幅度往往比开发岗大得多。
这也是为什么有的安全从业者觉得自己行业很稳定，有的却觉得随时可能被裁。分化来自岗位所在的企业类型：做安全产品的乙方，岗位相对稳定；做驻场服务的乙方，岗位极其不稳定；做甲方日常运维的，稳定但晋升空间有限；做甲方合规项目的，岗位随合规周期波动。不同岗位的安全感差异巨大，求职之前一定要分清楚自己想进哪一种。
4.2 合规需求驱动招聘，但合规节奏不是均匀的
国内的大量安全岗位需求由合规驱动。等级保护、数据安全法、个人信息保护法等合规要求落地时，企业必须配备相应的人员或采购服务，这会拉动一波明显的招聘需求。但合规建设是阶段性任务，不是持续增长的日常运营，所以需求往往集中在政策发布后的几个月内爆发，随后迅速趋于平缓。
在这波“合规冲刺”的热潮里，企业急招的是能写文档、能对接测评、能整改安全配置的人，不一定是技术最深的攻防专家。合规高峰期看到的安全岗位数量，和低谷期相比相差很大。如果你在低谷期搜索岗位，会觉得行业一片冷清；但在高峰期投简历，又会发现面试安排不过来实现。
一些培训机构会顺势放大合规热点的招聘数据，让新人误以为安全行业永远在高速增长。真相是：行业规模在增长，但安全岗位不是均匀分布在所有时间段和所有企业类型里的。聪明的求职者会顺着合规周期提前半年准备，在别人还没反应过来的时候投递简历，而不是等到合规热潮见诸新闻才匆忙行动。
4.3 大厂安全团队收缩，但中小企业的缺口一直存在
近两年还有一个趋势值得关注：大型互联网公司的安全团队开始收缩或整合，部分边缘安全团队被裁撤，编制回流到核心安全部门。这在招聘平台上的直接体现是“算法策略工程师”“内容安全审核”等岗位数量上升，而“渗透测试工程师”“安全运营专员”等传统安全岗位数量下降。
但与此同时，大量中小企业、传统行业企业的安全需求正在增长。制造业数字化、医疗系统上云、地方政务系统联网，这些场景都需要安全基础能力。它们的招聘方式非常朴素，可能就是在本地招聘会挂一个“信息安全专员”的岗位，薪资不算高，但胜在稳定、竞争小。这类岗位不会出现在一线城市的安全社交圈里，却真实存在于你身边。
对一个刚入行的新人来说，与其在北京上海和几千人一起卷几个大厂岗位，不如先看看二线城市的制造业数字化企业和政务系统集成商。这些企业也许给不了高薪，却能给你一个接触真实生产环境、完整参与安全建设的机会。很多安全大牛的职业起点，都是从不起眼的小公司开始的——这类岗位在行业报告里不算“高级人才缺口”，但对个人成长却极其关键。
5. 从求职者视角反推：怎样找到那些“看不见”的安全岗位
既然缺口存在、岗位存在，只是藏得深、通道窄、周期波动大，那求职者就不能只靠刷招聘平台了。我自己带过十几个转行入行的新人，总结下来，那些真正拿到安全offer的人，走的路径几乎都不是“海投简历”这一条。
5.1 先明确目标岗位类型，再倒推准备
安全岗位的类型大致可以分为五类：渗透测试/红队、安全运营/蓝队（SOC）、安全开发/DevSecOps、合规审计/数据安全、安全管理/架构规划。每个方向的知识体系、面试内容、岗位数量都不同，不可能一个人全占。
新人最常见的错误就是想“什么都会一点”，结果简历写成一张技术杂货铺，面试时被任何一个方向的深挖问题难倒。正确的做法是选定一个方向，花三个月到半年时间，把对应的技能栈拉满。想做渗透测试，就把Web漏洞原理、Burp Suite使用、内网渗透基础、应急响应流程全部过一遍；想做安全运营，就把SIEM平台、日志分析、告警研判、威胁情报的实操流程吃透。
方向选得早，准备时间才够用。等到投简历阶段再临时换方向，几乎不可能通过技术面。我在招聘时看到太多候选人简历上写着“热爱安全”，但项目经历全都对不上岗位要求——这种简历在第一轮就会被筛掉，哪怕你确实在后台默默学了很多东西。
5.2 建立一套能对外展示的能力证据链
安全行业很看重“可验证的能力”。证书是一个维度，但更硬的通货是你做过的项目、提交过的漏洞、写过的分析报告。对新人来说，没有企业级项目经验怎么办？可以用自建模拟环境来弥补。
比如自己搭一个Web靶场，做一次完整的渗透测试，把漏洞发现过程、利用方法、修复建议整理成一份渗透测试报告；或者复现一次典型的勒索攻击事件，从流量日志反推攻击路径，写一篇应急响应分析文章。这些内容能证明两件事：第一，你有动手实操的能力；第二，你能输出专业的文档。后者在安全行业里比多数人想象的重要得多。
然后把证据链整理到简历和社交主页上。面试官点开你的个人主页，能看到完整的技术文章和项目复盘，对你的信任度会明显提升。我认识不止一个新人，就是因为技术博客被团队负责人直接联系邀请面试，拿到了原本在招聘平台上不会公开招聘的机会。
5.3 用好内推、社群和线下活动，绕开公开渠道的竞争
前面已经说过，很多真实岗位不会公开招聘，而是走内推和圈子渠道。新人要想进入这个通道，就必须想办法认识行业里的人。安全圈子的社交属性其实很强，行业大会、技术沙龙、CTF比赛、本地安全小组活动，都是认识从业者的好途径。
这里分享一个我的亲身经验：很多安全团队在招人之前，负责人会先在朋友圈或技术社群里发一句话，让团队里的人推荐。如果你在这个圈子里，哪怕只是一名经常冒泡、愿意分享技术笔记的普通成员，也有机会被提到。可如果你完全不参与线下或线上交流，这些信息永远不会出现在你的信息流里。
加入安全社群时，不要做潜水者，更不要一上来就发简历。先观察讨论话题，找机会输出有价值的内容，比如帮别人解答技术问题、分享学习资源、整理靶场刷题笔记。时间长了，群里的成员会默认你是靠谱的同行，一旦有内推名额，第一时间想到的就是你了。
5.4 安全方向的学习路径参考：新人从哪开始更稳
很多刚起步的人最迷茫的其实是不知道按什么顺序学习。这里给一条我自认为比较稳健的路径参考，分四个阶段，每个阶段都有一个可以自测的产出物：
第一阶段是打下网络与系统基础，掌握TCP/IP协议栈、HTTP协议、Linux常用命令、Windows日志分析、虚拟机和Docker的使用。自测产出：能独立配置一个带Web服务、数据库、防火墙规则的靶场环境。这个阶段大概需要四到八周，主要解决“看不懂环境”的问题。
第二阶段进入Web安全核心，系统学习OWASP Top 10漏洞原理，配合靶场逐个复现，并学会使用Burp Suite、Nmap、SQLMap等基础工具。自测产出：独立完成一次渗透测试并输出一份包含漏洞截图和修复建议的报告。这个阶段是多数初级安全岗位面试的高频考点，务必投入足够时间。
第三阶段是安全运营与应急响应，学习SIEM平台的基本操作、日志检索、告警分级、常见攻击链分析、勒索病毒和APT攻击的典型模式。自测产出：根据一份模拟攻击日志还原攻击者的完整路径，并写出应急处置建议。这一阶段能帮你避开“只会打、不会防”的偏科问题。
第四阶段按目标岗位调整。如果想走安全开发，就补Python/Go编程、CI/CD集成、SAST/DAST工具链；想走合规方向，就研究等保测评流程、风险评估方法、安全制度文档模板；想走数据安全，就系统学数据分级分类、数据脱敏、隐私计算基础。到了这个阶段，你已经能独立判断自己更适合哪个方向了。
这条路不需要什么天赋，需要的是每天两到三个小时、持续半年的稳定投入。安全行业对新人最大的评价标准就是“到底有没有真正动手做过”，你花在靶场里的每一个小时，最终都会在面试环节变成你回答问题的底气。
6. 关于“缺口大却招聘少”的常见误区：机会到底在哪
最后整理几个我经常看到的关于安全招聘的典型误解，希望能帮你少走一些弯路。这些观点不一定全面，但都是我根据实际观察得到的经验之谈。
6.1 误区一：“安全行业根本不缺人，大家都在骗我”
我一直不认同这种说法。行业缺的是真正能把事情做成的安全工程师，而不是只背概念、没动过手的人。缺口大的同时，企业招聘时对“合适”的定义也极其严苛，两边同时成立，才造成了“缺人却不招人”的表象。
如果你觉得岗位很少，很可能是你关注的岗位类型太单一、地理位置太集中、发布时间又正好在低谷期。把搜索范围扩展到安全运维、安全开发、合规、产品助理、售前售后这些周边岗位，把工作地点扩展到二三线城市，把投递时间配合到行业合规活动前后，岗位数量会出现明显变化。
6.2 误区二：“没有经验的新人完全没机会，全是坑”
安全行业对纯新人确实不友好，但这不是全或无的关系。门槛最低的切入方向是安全服务交付方（乙方），它们对人才的需求量大，愿意要学习能力和执行力强的新人，但工作强度也大。另一个切入方向是甲方安全部门的实习生或助理岗位，薪资不高，但能让你接触企业真实的安全工作流程。
最难的其实是第一份工作的启动期。我的建议是不要只看薪资，先看能不能学到东西、能不能积累可对外展示的项目产出。一旦手里有了第一份安全相关的行业经历，后面的路就会顺畅很多。很多资深安全工程师的第一份工作，起点低到你现在可能不愿意去，但正是那段经历让他们攒下了后来的核心能力。
6.3 误区三：“证书考下来就能进安全行业”
证书是加分项，不是通行证。在简历筛选阶段，证书能帮你通过HR的初筛，但技术面还是看实战能力。如果你只考了证书，基础知识不扎实，项目经验空白，面试官几分钟就能判断出你的能力水平，offer照样拿不到。
而且，一些证书考试本身存在滞后性，教材内容和企业实际场景脱节严重。比起投入大量时间金钱去追证书，不如先把基础技术打牢，再考虑用证书补足简历的可信度。真正有价值的证书，通常是有了几年工作经验后，配合职业晋升去考，而不是刚入行时的敲门砖。
6.4 误区四：“等待风口，行业热潮来了我再入行”
过去几年被广泛讨论过的安全概念，几乎每个都被证明是长期趋势，而不是一阵风。但等待风口再入行的人往往赶不上趟，因为到热潮被普遍感知时，技术门槛和岗位竞争早都同步提高了。安全行业的特点决定了，它不会像消费互联网一样突然爆发式招人，而是细水长流地慢慢扩大。
真正聪明的人，是在行业还没那么热的时候就开始打基础，等风真正吹过来时已经有了一两年经验。安全行业的复利效应非常强：你早入行一年，遇到的实战项目、积累的排查经验、认识的同行数量，都会和晚入行的人拉开指数级差距。与其反复纠结入行时机，不如现在就花一个钟头，去把靶场环境搭起来。
我个人在实际带人的过程中，最深的感受是：安全问题从来不缺，缺的只是理解问题本质、能有条不紊处理问题的人。行业报告里的缺口数字有没有水分其实不重要，重要的是你现在有没有立刻开始积累属于你自己的那部分能力。你现在的每一次动手操作、每一份技术笔记、每一条漏洞分析，都在帮你把那些“看不见的岗位”变成“看得见的offer”。
