xiaohack's Blog - DevSecOps
type: channel
link: https://blog.xiaohack.org/tag/devsecops/
items: 26年招聘数据泄露了：10个行业里，写代码的我们正在被疯抢
items: 补齐SDLC最后一块拼图：LLM 在应用安全中的实践探索
items: 阿里云急招安全工程师（SDL/架构师），加入我们，更快拥抱AI时代！

26年招聘数据泄露了：10个行业里，写代码的我们正在被疯抢
type: item
date: 2026-01-30T11:46:25+08:00
description: 兄弟们，昨天深夜刷到一份数据，睡意全无。咱们这群人，过去两年是不是经常感觉：技术更新比发际线后移还快，但好机会却像内存泄漏一样，越来越难找？昨天还被奉为“架构师”，明天可能就要担心会不会被“优化”。但今天，我想用一份刚挖到的、世界经济论坛出的《2026经济趋势指南》给你们打点气。看完我只有一个感觉：别在存量市场里内卷了，真正的增量战场，已经划出来了。报告里有两组数据直接抓住了我的眼球：67%的企业计划在2026年扩招，全球预计新增3.2亿个岗位——这可不是画饼，是实打实的HR的KPI。而风口，就藏在这份 「最具潜力行业TOP10」 的榜单里。我仔细扒拉了一下，发现咱们程序员的技能树，几乎就是为其中一半以上的行业量身定制的。一、 硬核科技“铁饭碗”：你的代码是物理世界的“新基建”先看榜单前五，每一个都散发着“国家重点发钱”的气息： 人工智能与机器学习 (TOP1) 报告说“平均年薪突破50万”，这还只是平均数。但重点不再是造大模型，而是 “如何把AI塞进每一个具体场景里炼出金子” 。 我们的机会：别再只当调参侠。成为 AI应用工程师——在智能制造里优化流水线良品率，在生物医药里加速分子筛选。你的价值等于你为产业省下的钱或创造的利润。 半导体与芯片制造 (TOP4) “国产替代”不是口号，是无数公司背水一战的死命令。这里缺的不只是物理学家，更缺懂高性能计算、嵌入式开发、芯片设计自动化（EDA）工具链的软件人才。 我们的机会：为“卡脖子”的硬件，编写“突破脖子”的软件。这是一条壁垒极高、周期长、但无比坚固的赛道。 网络安全与数据隐私 (TOP5) 法规越来越像高压线，安全从“成本部门”变成了“保险部门”。未来每一行代码都可能要经过“安全合规”的编译。 我们的机会：安全开发工程师（DevSecOps） 会成为标配。在金融、政务、医疗这些领域，你会从一个“写功能的人”，变成“守护数据城池的人”。 智能制造与工业4.0 (TOP6) 这是产业数字化的核心战场。想象一下，你写的算法控制着价值上亿的无人产线，你的数字孪生系统能预判一次价值千万的故障停机。 我们的机会：工业软件、机器人控制、物联网平台。从互联网的“虚拟世界”跳进工厂的“物理世界”，成就感是另一种维度的。 二、 融合赛道“黄金刀”：用技术撬动万亿级市场再看另外几个，它们需要的是“技术+行业”的复合能力，程序员是这里的核心变量：新能源与可持续发展 (TOP2) 光伏、储能、氢能，人才缺口超百万。这里不止需要工程师拧螺丝，更需要用算法优化电网调度、用数据模型预测电池衰减、用物联网管理千万级充电桩的“能源程序员”。 我们的机会：成为懂电力、化学、流体力学的“跨界码农”，把代码写在碳中和的时代答卷上。 金融科技与数字货币 (TOP7) 在强监管下跳最前沿的舞。区块链、数字人民币、智能投顾，每一个都需要在“安全、合规、高性能”的铁三角里做到极致。 我们的机会：对并发、安全、算法有极致追求的兄弟，这里欢迎你。你的代码直接和“钱”打交道，容错率是零。 电动汽车与智能驾驶 (TOP8) 这是AI、芯片、智能制造的大集成终端。自动驾驶算法、车控OS、座舱交互，每一块都是软件定义汽车的核心。 我们的机会：从“写App”到“写车”，技术栈更深，对稳定性和实时性的要求是指数级上升，但天花板也是。 三、 我们该如何“版本迁移”？一份行动路线图看到这里，你可能会说：“领域很好，但我不会啊。” 别急，转型不是换头，而是“技能迁移”。你可以这么做：第一步：用数据地图，给自己定位别凭感觉。我强烈建议你去这份报告的页面看看，里面有一个 “你最看好哪个行业”。去看看成千上万同行用脚投票的结果，比任何分析都真实。第二步：执行“T型人才”2.0计划一竖（技术深度）不能丢，但那一横（行业认知）必须疯狂加宽。比如: 想切入生物医药？去学基础的生命科学知识，了解药物研发流程。 想进入智能制造？去理解MES（制造执行系统）、PLC（可编程逻辑控制器）是什么。 方法：放下技术人的傲慢，主动去和行业里的人聊，把他们的“黑话”翻译成你的“技术需求”。 第三步：在现有工作中“灰度发布”新技能不用马上跳槽（跳板）。尝试在你现在的项目里，引入一点新思路。比如做电商的，能不能研究一下跨境电商的供应链系统？做工具软件的，能不能想想如何应用到元宇宙的创作场景里？用最低成本试错，积累你的“跨界项目经验”。最后说点扎心又真实的：过去十年，互联网是程序员的最大公约数。未来十年，这个最大公约数会分解到各个实体经济和硬科技领域里。我们的价值，将不再仅仅由点击率和日活衡量，而是由我们优化了多少能源效率、缩短了多少新药研发周期、保障了多少金融交易安全来定义。这不是衰退，这是一次价值回归——回归到技术改变世界的本质。别在旧船票上纠结头等舱了，新的船正在起航，船票…

补齐SDLC最后一块拼图：LLM 在应用安全中的实践探索
type: item
date: 2026-01-24T19:38:17+08:00
description: 导语随着 DevSecOps 的不断推进，应用安全已被广泛纳入SDLC的各个阶段。然而，在代码扫描、依赖分析、漏洞检测等能力逐步成熟的同时，一个长期存在却难以解决的问题始终横亘在安全工程实践中：安全工具“能发现问题”，却难以判断问题是否真实、是否可利用、是否值得优先处理。大量规则驱动的扫描结果不仅带来了高误报率，也持续消耗着研发与安全团队的精力。近年来随着大语言模型（LLM）的快速发展，为这一困境提供了新的可能。不同于传统规则或静态特征匹配，LLM 在语义理解、上下文推理和条件组合分析方面展现出独特优势，使其具备参与安全“判断层”的潜力。将 LLM 引入 SDLC，不再只是生成代码或辅助文档，而是尝试参与到安全结果的理解、验证与决策之中。本文结合实际应用安全建设经验，围绕 LLM 在 SDLC 中的落地实践展开，重点探讨其在硬编码、SCA、漏洞挖掘等场景中的应用方式与工程化思路。SDLC 应用安全流程SDLC名词解释 SAST（静态应用安全测试）通过对源代码或编译产物进行静态分析，在不运行系统的情况下发现潜在的安全缺陷，如 SQL 注入、XSS、不安全函数调用和硬编码敏感信息等，适合在开发阶段提前发现问题。 SCA（软件成分分析）聚焦于项目中使用的第三方开源组件，识别依赖库及其传递依赖中已知的安全漏洞、风险版本和许可证问题，帮助团队降低因外部组件引入的安全风险。 DAST（动态应用安全测试）在系统运行状态下，从攻击者视角对应用进行测试，通过捕获流量包修改参数重放，模拟真实攻击行为验证系统是否存在可被实际利用的漏洞，如注入攻击、未授权访问等 硬编码（Hard Coding），是指在程序中直接把固定的值写死在源码里，而不是通过配置文件、环境变量等方式获取，比如下面这些情况，都属于硬编码：用户名、密码、token或加密密钥等 为什么我们需要SDLC？产品一句话需求 → 开发自己理解 → 按照个人习惯去开发 → 功能上线后出现大量漏洞 → 被外部利用造成损失而SDLC要做的就是把漏洞扼杀于摇篮之中，而不是靠后期凭经验渗透测试发现。但目前传统的SDLC存在大量告警/误报，推送大量工单给研发会导致业务间摩擦度增加，因此理想情况是把真正需要修复的工单交给研发处理硬编码规则下引入AI判断，减少误报问题背景：目前硬编码扫描是根据规则的正则匹配，存在一定的局限性和误报整体流程结合硬编码规则 + AI 判断保留高召回，同时降低误报率硬编码规则先行使用固定规则（正则、逻辑判断）先筛掉明显非风险项，让 AI 只处理模糊/不确定案例AI 判断做辅助只对硬编码规则未覆盖、可疑的候选项输出风险判断，输出结果可附置信度或分类标签置信度 + 白名单控制AI 输出带置信度，低于阈值直接忽略，对常见合法值、默认值设置白名单提示词 promot通过定位文件的位置，结合上下文判断实际风险等级，把AI分析结果输出你是一个资深应用安全专家，精通代码安全、凭证泄露、真实攻击利用分析。 现在给你一个【疑似硬编码凭证】的扫描结果，请你进行【可利用性研判】。 输入信息如下（JSON）： %s 请严格按以下维度进行分析： 1. 该硬编码是否为真实敏感凭证 2. 是否存在被外部攻击者利用的可能 3. 是否依赖运行环境 4. 泄露后的安全影响 5. 修复建议 请以 JSON 格式输出分析结果 模型输入字段释义 字段 释义 match 匹配到的硬编码内容（部分脱敏显示） rule key类型 path 硬编码所在的完整文件路径 branch 分支 code 上下5行代码 增加输出长度，避免截断"extra_body": map[string]interface{}{ "think_mode": true, "max_output_tokens": 1024, 实现效果如果是走正常的流程，secret_value会被 generic-api-key规则名字标记严重程度为medium开启AI分析选项后，通过定位文件的位置，结合上下文交给ai分析，AI判断实际危害程度为低在代码中发现硬编码的敏感信息'DEMO_SECRET'，其值为'secret_value'。根据规则'generic-api-key'，这可能是一个API密钥或其他类型的敏感凭证。该变量位于'E:\SDLC平台\backend\uploads\demo.py_scan\demo.txt'文件中，并且注释表明它看起来像一个Key，但无实际用途。由于这是一个测试环境中的示例代码，风险相对较低。 掩码输出硬编码片段代码中存在：const apiKey = "sk_live_9f83a0b7..."AI分析后会直接原样输出，给出完整的佐证片段，这样是不符合数据安全合规要求的，就会产生 二次扩散风险。正确掩码后的做法，AI 只需知道这是一…

补齐SDLC最后一块拼图：LLM 在应用安全中的实践探索
type: item
date: 2026-01-21T09:02:26+08:00
description: 导语随着 DevSecOps 的不断推进，应用安全已被广泛纳入SDLC的各个阶段。然而，在代码扫描、依赖分析、漏洞检测等能力逐步成熟的同时，一个长期存在却难以解决的问题始终横亘在安全工程实践中：安全工具“能发现问题”，却难以判断问题是否真实、是否可利用、是否值得优先处理。大量规则驱动的扫描结果不仅带来了高误报率，也持续消耗着研发与安全团队的精力。近年来随着大语言模型（LLM）的快速发展，为这一困境提供了新的可能。不同于传统规则或静态特征匹配，LLM 在语义理解、上下文推理和条件组合分析方面展现出独特优势，使其具备参与安全“判断层”的潜力。将 LLM 引入 SDLC，不再只是生成代码或辅助文档，而是尝试参与到安全结果的理解、验证与决策之中。本文结合实际应用安全建设经验，围绕 LLM 在 SDLC 中的落地实践展开，重点探讨其在硬编码、SCA、漏洞挖掘等场景中的应用方式与工程化思路。SDLC 应用安全流程SDLC名词解释 SAST（静态应用安全测试）通过对源代码或编译产物进行静态分析，在不运行系统的情况下发现潜在的安全缺陷，如 SQL 注入、XSS、不安全函数调用和硬编码敏感信息等，适合在开发阶段提前发现问题。 SCA（软件成分分析）聚焦于项目中使用的第三方开源组件，识别依赖库及其传递依赖中已知的安全漏洞、风险版本和许可证问题，帮助团队降低因外部组件引入的安全风险。 DAST（动态应用安全测试）在系统运行状态下，从攻击者视角对应用进行测试，通过捕获流量包修改参数重放，模拟真实攻击行为验证系统是否存在可被实际利用的漏洞，如注入攻击、未授权访问等 硬编码（Hard Coding），是指在程序中直接把固定的值写死在源码里，而不是通过配置文件、环境变量等方式获取，比如下面这些情况，都属于硬编码：用户名、密码、token或加密密钥等 为什么我们需要SDLC？产品一句话需求 → 开发自己理解 → 按照个人习惯去开发 → 功能上线后出现大量漏洞 → 被外部利用造成损失而SDLC要做的就是把漏洞扼杀于摇篮之中，而不是靠后期凭经验渗透测试发现。但目前传统的SDLC存在大量告警/误报，推送大量工单给研发会导致业务间摩擦度增加，因此理想情况是把真正需要修复的工单交给研发处理硬编码规则下引入AI判断，减少误报问题背景：目前硬编码扫描是根据规则的正则匹配，存在一定的局限性和误报整体流程结合硬编码规则 + AI 判断保留高召回，同时降低误报率硬编码规则先行使用固定规则（正则、逻辑判断）先筛掉明显非风险项，让 AI 只处理模糊/不确定案例AI 判断做辅助只对硬编码规则未覆盖、可疑的候选项输出风险判断，输出结果可附置信度或分类标签置信度 + 白名单控制AI 输出带置信度，低于阈值直接忽略，对常见合法值、默认值设置白名单提示词 promot通过定位文件的位置，结合上下文判断实际风险等级，把AI分析结果输出你是一个资深应用安全专家，精通代码安全、凭证泄露、真实攻击利用分析。 现在给你一个【疑似硬编码凭证】的扫描结果，请你进行【可利用性研判】。 输入信息如下（JSON）： %s 请严格按以下维度进行分析： 1. 该硬编码是否为真实敏感凭证 2. 是否存在被外部攻击者利用的可能 3. 是否依赖运行环境 4. 泄露后的安全影响 5. 修复建议 请以 JSON 格式输出分析结果 模型输入字段释义 字段 释义 match 匹配到的硬编码内容（部分脱敏显示） rule key类型 path 硬编码所在的完整文件路径 branch 分支 code 上下5行代码 增加输出长度，避免截断"extra_body": map[string]interface{}{ "think_mode": true, "max_output_tokens": 1024, 实现效果如果是走正常的流程，secret_value会被 generic-api-key规则名字标记严重程度为medium开启AI分析选项后，通过定位文件的位置，结合上下文交给ai分析，AI判断实际危害程度为低在代码中发现硬编码的敏感信息'DEMO_SECRET'，其值为'secret_value'。根据规则'generic-api-key'，这可能是一个API密钥或其他类型的敏感凭证。该变量位于'E:\SDLC平台\backend\uploads\demo.py_scan\demo.txt'文件中，并且注释表明它看起来像一个Key，但无实际用途。由于这是一个测试环境中的示例代码，风险相对较低。 掩码输出硬编码片段代码中存在：const apiKey = "sk_live_9f83a0b7..."AI分析后会直接原样输出，给出完整的佐证片段，这样是不符合数据安全合规要求的，就会产生 二次扩散风险。正确掩码后的做法，AI 只需知道这是一…

阿里云急招安全工程师（SDL/架构师），加入我们，更快拥抱AI时代！
type: item
date: 2026-01-19T16:04:55+08:00
description: 概述阿里云安全保障急招安全工程师，在这里，有机会（可入职后培养）：1学习前沿云上攻防技能，落地创新安全架构方案，建设云上纵深防御架构体系。2跟进前沿AI安全保障技能（如MCP/A2A Agent访问控制、Prompt Injection），保障AI场景数据安全、身份与访问控制安全，探索AI时代产品的最佳安全实践。3在全栈可控的技术安全治理体系中，紧跟前沿AI Agent技术，将AI智能化技术落地到安全保障流程中，提升治理效果、效率。投递方式：aliyun_xz@service.aliyun.com岗位一：SDL安全专家（AI智能化）职责要求：●能够深入产品线产研流程，理解安全需求，度量/管理产线安全风险，并推动安全加固方案的落地执行，推动产线实现纵深防御体系●推进产线DevSecOps安全发布流程建设，完成产品架构评审、风险扫描、代码审计、漏洞修复等基础安全运营工作，探索安全左移工作●负责大型产品整体上云安全架构设计及安全解决方案设计●根据业务线的特性，制订定制化的安全解决方案，对业务进行威胁建模，针对安全薄弱点，定期进行全链路攻防演练●负责设计、评估云产品对客安全能力，推动云产品默认安全建设，增强客户对云产品的安全感、信任感●负责将安全领域专家知识转化为AI Agent、数据集、Prompt，推动SDL流程智能化技能要求：●有安全攻防经验，熟悉常见的web漏洞原理以及对应的修复方法●熟悉常见的安全运营工具，包括黑白灰盒、waf、rasp、sca等●熟悉Java\Python\Go\C/C++中至少一种编程语言，能够独立编写脚本和简单程序，有代码审计工作经验者尤佳●需有良好的沟通、协调、风险管理能力，能够独立推动前沿安全解决方案在产研团队的落地●具备安全架构设计经验，能够结合产研团队诉求（稳定、性能、体验、成本）设计合理的安全架构方案，并推动落地●具备数据度量思维，熟练掌握SQL、数据报表技能，能够清晰地梳理产线风险水位、安全治理效能，并尽量通过数据来论证，帮助产线一号位理解安全治理逻辑，并影响其决策，推动产线安全水位良性上升。●能够将安全领域专家知识持续沉淀为标准化语料数据，将DevSecOps的治理策略转化为Prompt，并推动Agent集成到DevSecOps流程中，提升流程智能化水位。●（加分）具备AI Agent实践、运营经验，掌握如何提升Agent效果的调优技巧岗位二：云原生安全架构师职责描述：●负责参与云上云原生安全体系建设，探索AI&云场景下的云原生最佳实践，推动最佳实践在云产品的落地●评审PaaS类云产品安全架构，基于风险，设计符合纵深防御要求的安全架构解决方案，并推动产研团队将安全架构解决方案落地●支撑供应链安全漏洞应急分析、修复方案落地与设计●负责推动热修复、热迁移方案设计并推动落地，评估并支持提升功防场景的云产品可用性技能要求：●具备容器安全、虚拟化安全相关经验●具备功防演练实战经验●具备威胁建模、安全架构设计经验●熟悉常见的安全运营工具，包括黑白灰盒扫描工具、waf、rasp、sca等●熟悉Java\Python\Go\C/C++中至少一种编程语言，能够独立编写脚本和简单程序，有代码审计工作经验者尤佳●（加分）先知、补天、漏洞盒子、HackerOne、BugCrowd、ASRC、TSRC等平台有高质量漏洞提交的白帽子。或挖掘过高质量CVE/CNVD漏洞。●（加分）主导高质量的安全类开源项目●（加分）负责过大型安全架构改造项目，并具备落地成绩●（加分）熟悉DevSecOps流程，具备相关经验和成绩●（加分）具备AI类产品功防经验或对AI场景具备极大兴趣和思路.lakex-default-theme{--lakex-editor-background:#fff;--lakex-editor-background-primary:#fff;--lakex-editor-background-primary-hover:#EFF0F0;--lakex-editor-background-primary-hover-light:#E7E9E8;--lakex-editor-background-secondary:#FAFAFA;--lakex-editor-background-tertiary:#F4F5F5;--lakex-editor-background-foreground:#fff;--lakex-editor-border-light:rgba(0, 0, 0, 0.04);--lakex-editor-code-background:#0000000f;--lakex-editor-column-background-highlight:#D9EAFC7F;--lakex-editor-ico…