从刷题到系统设计，一步步来
前几天朋友小李去一家做安全软件的公司面试，被问到一个实际问题：如何在不暴露密钥的情况下实现API接口鉴权。他当场卡住，回来跟我聊，才发现很多准备方向其实跑偏了。
很多人一说准备面试就是狂刷LeetCode，但现实是，光会做题远远不够。尤其是安全软件这类对系统稳定性和数据保护要求高的领域，面试官更关心你能不能应对真实场景。
代码基本功不能丢
算法题还是得练，但不用追求数量。像二叉树遍历、链表反转、滑动窗口这些经典题型，要能手写出来，并且讲清楚时间复杂度。比如写一个快速排序：
def quick_sort(arr):
if len(arr) <= 1:
return arr
pivot = arr[len(arr) // 2]
left = [x for x in arr if x < pivot]
middle = [x for x in arr if x == pivot]
right = [x for x in arr if x > pivot]
return quick_sort(left) + middle + quick_sort(right)这代码不难，但面试时要是写错下标或者递归条件，印象分会掉一大截。
项目经历别只说“用了什么”
有个候选人说他在项目里用了Spring Boot和MySQL，但被追问“怎么防止SQL注入”时支支吾吾。安全相关的岗位，这种问题几乎是必考。
与其泛泛而谈，不如挑一个点深挖。比如你做过用户登录模块，那就准备好讲清楚：密码是不是哈希存储？用的bcrypt还是SHA-256加盐？有没有限制登录失败次数？这些细节才是加分项。
系统设计要贴近实际
面试常会问“设计一个安全的文件上传服务”。这不是让你画个框图就完事。要考虑文件类型校验、大小限制、存储隔离，甚至防病毒扫描。可以这样拆解：
- 前端先做类型和大小检查
- 后端不信任任何前端数据，重新验证
- 文件存到独立域名，关闭执行权限
- 生成随机文件名，避免路径遍历攻击
这些问题想明白了，比背十道题都有用。
别忽视软技能
有次我面试一个技术很强的候选人，但他一直打断别人说话，解释问题时语气像在训人。最后团队没通过。技术岗也讲究协作，尤其在安全团队，经常要和其他部门沟通风险点。
练习的时候可以找朋友模拟面试，重点不是答对多少，而是表达是否清晰、态度是否开放。遇到不会的问题，直接说“这块我不太熟，但我推测可能是……”，反而显得诚实可靠。
反向提问也有讲究
面到最后，面试官问“你有什么想了解的”，很多人问“加班多不多”“工资多少”。其实可以换个角度，比如：“你们目前最关注的安全漏洞类型是什么？”“新员工通常从哪个模块开始参与？”
这种问题既能了解团队现状，又表现出你已经在思考怎么融入工作。