猿急送>

贵阳其它兼职程序员

ID：412097

qwq

网络安全工程师

公司信息：
GZLT

工作经验：
3年

兼职日薪：
2000元/8小时

兼职时间：
下班后
周六
周日
可工作日远程

所在区域：
贵阳
全区

技术能力

编程语言

Python、Go、Java、JavaScript、php、HTML、Web安全测试、浏览器安全研究、Linux系统Windows系统、TCP/IP协议栈与网络编程、Docker、Spring、nodejs

项目经验

项目名称：企业级API资产安全态势感知与动态防御平台
项目角色：安全开发工程师
项目周期： 202X年X月 - 202X年X月 (共10个月)
项目背景与挑战：
公司业务微服务化后，API数量激增，传统WAF及边界防护无法有效应对针对业务逻辑、数据泄露和僵尸API的隐蔽攻击。安全团队面临资产不清、风险不可见、响应滞后的被动局面。
核心目标：
设计并开发一个集自动化资产发现、智能风险分析、实时威胁检测、动态主动防御于一体的主动式安全平台，将安全能力左移至开发流程，右延至运行时防护。
我的职责与核心工作内容：
1. 架构设计与技术选型
主导设计了 “探针（Agent/Sensor）- 分析引擎（Engine）- 策略中心（Brain）” 的三层分布式架构，确保高可用与水平扩展能力。
技术栈选型：核心引擎采用 Golang（高性能、并发能力强），前端采用 React + TypeScript，数据管道使用 Kafka + Flink（实时流处理），存储使用 Elasticsearch（日志检索）和 PostgreSQL（关系数据）。
引入 eBPF 技术，设计无侵入式的网络流量采集探针，用于生产环境敏感资产的被动发现。
2. 核心模块开发与实现
自动化API资产发现与测绘引擎（开发负责人）
开发了爬虫调度引擎，深度融合 Headless Browser（用于SPA应用）和流量镜像解析两种探测方式，覆盖率提升至95%以上。
设计API指纹规则引擎，自动识别技术栈（如Spring Boot, Django）、接口框架（Swagger, GraphQL）及敏感数据接口（包含身份证、手机号等字段）。
成果：构建了公司首个动态更新的API全域资产库，包含接口、参数、数据流动图谱，发现并收敛了300+个未知（僵尸）API。
智能风险评估与漏洞关联分析模块（主要开发者）
基于资产库和代码仓库（如GitLab）的SCA工具扫描结果，开发风险关联算法。
实现语义化分析，将“未授权访问漏洞（CVE编号）”自动关联到对应的“用户信息查询API”，并给出修复代码行建议。
开发了敏感数据泄露风险模型，通过分析API响应模式，自动识别异常的大批量数据导出行为。
实时威胁检测与动态响应引擎（核心贡献者）
基于Flink开发实时规则引擎，支持对海量API访问日志进行多维度行为基线分析（如：IP地理位置突变、敏感接口高频访问、攻击特征匹配）。
设计并实现了 “动态令牌” 主动防御模块。当检测到高风险攻击行为（如撞库）时，引擎并非简单封禁IP，而是通过API向应用网关下发指令，在特定会话中注入一段加密挑战码，只有合法客户端能正确处理，从而精准阻断恶意机器人而不影响正常用户。
开发了与公司CI/CD流程集成的插件，在流水线中自动进行API安全测试（基于OpenAPI Spec），并实现了“安全门禁”机制，关键API存在高风险漏洞时自动阻断发布。
3. 平台化与DevSecOps集成
使用 Docker + Kubernetes 对平台所有组件进行容器化编排，编写完整的Helm Chart。
为平台开发了完整的 RESTful API，供其他系统（如SOC、工单系统）集成调用。
开发了 VS Code插件和命令行工具，使开发者在本地编码时即可获得API安全规范提醒和风险预览。

案例展示

XS-Leaks自动化检测系统

担任主要安全开发人员，设计和实现一个基于浏览器特性和策略的XS-Leaks的分类和分析工具，使用Python语言，利用PlayWright作为合适的浏览器自动化框架，实现对不同浏览器的控制和操作，实现对不同类型的XS-Leaks的侧信道的测试和比较，输出分类结果和报告。除此之外本
浅止ai综合平台

本AI模型综合平台提供一站式模型服务解决方案：支持与多种大语言模型进行多轮智能对话，并可根据需求灵活调整参数实现个性化交互；集成MCP（模型控制协议）管理系统，实现对异构模型的统一部署、资源调度与版本监控，提升运维效率；同时提供专业推理测试模块，支持对模型进行压力测试、精度评估与