从毕业到工作，我也逐渐接受了自己的平庸。我是末流二本，一起毕业的同学，工作四五年，跳槽到京东了。而我还在一家小公司 CRUD ，毫无建树，薪资也不如人家。

还有四五年就三十的时候，我突然想通了。进京东那个同学是软件工程专业，而我是 CS 专业。从最开始我都算不上是特别喜欢编程，只不过毕业为了谋生，学了编程而已。自己真正热爱的东西是安全方面的攻防技术。

我之所以觉得自己不喜欢编程，是因为对算法这些东西，完全提不起兴趣。进京东那个同学大学期间就热衷参加编程竞赛，而我却不怎么感兴趣。这个同学虽然竞赛拿了国奖，但我却控制了我们学校的监控系统，拿到了七个年级的学籍信息，还把英语教学平台的库拖了，教务系统也拿到了约三分之一老师的账号和密码。

现在刚到某上市安全公司工作半年，算是程序员半路转行。虽然也距离大佬差距很远，尤其是 985 的科班，但我有信心自己也能成为他们一样的人，而且是在一两年内。

不知道楼主有没有想过换一条赛道。我也觉得自己平庸，但我觉得人生就像是游戏一样，需要打怪升级。就连爱因斯坦都说天才是 99%的汗水。其实，大多数时候，还轮不到拼天赋的程度。希望楼主的花店蒸蒸日上。

我用的国内版的 zoho 付费邮箱，没遇到过问题。

我目前也在减肥，正在尝试轻断食： https://book.douban.com/subject/33476637/

@Lrevan 一般都是支持的。只有个体户，例如早餐的路边摊这类。这种开销找个机会单独记下来就行了。

我是用信用卡记账的。支付宝微信统统绑定信用卡，支付全部走支付宝或微信。每个月信用卡还多少钱就知道用了多少，想查详单的时候，就查信用卡消费记录。

@forgottencoast 老哥，能分享下实践一年左右的效果吗？

Linux 终端下临时设置代理：export ALL_PROXY=socks5://127.0.0.1:1080
Windows 下临时设置代理：set ALL_PROXY=socks5://127.0.0.1:1080

以上设置均在命令执行当前终端有效，关闭终端失效。

@forgottencoast 老哥能留个联系方式么，想和你交流下原典法的使用心得。

@detached 可以的。只要副业不和公职职责范围相关就行，如果和公职相关，就用亲戚家人的名字。像自己搞创作，音乐，文学，小说，录视频，搞教学都是可以的。

@onice 不过我没注意拼写，很多单词认识，能听懂，但背着写不正确。

@forgottencoast 这本书的方法亲测有效。我是刷完新概念一册发现这本书的。当时词汇量只有 1800 ，用原典法每天两个小时，两个半月，词汇量就提升到 3500 了。

@detached 这个问题我专门问过公务员。是不能做相关的副业，比如网警不能在辖区开网吧，食品药品监督局的人不能在辖区开餐饮店，药店。不过没说家人不能开，法人不要写自己名字就行了。

同源策略是为了安全考虑，是浏览器的安全机制。假如没有同源策略，你访问任何站点，站点能获取你浏览器中其他站点的 cookie ，那还安全吗？

比如我构造一个恶意站点，使用 JS 读你邮箱站点的 cookie ，并保存。只要你的 cookie 有效，我就可以通过你的 cookie 登录你的邮箱。

一直用的招行的双币卡，目前体验良好。不过我都是直接人民币还美元。

楼主可以考虑下驻场那种外包。驻场单位选国家单位。比如税务局，公安局这类。

还有，该加班还是要加班。以前在某部队研究所，一样连续两周加班到九点半。

@onice 再补充下另外一个数据，朋友北京工作一年，回武汉，拿 17K 。

好久不接触开发圈子，但我觉得似乎和普通开发薪资水平差不多？大牛除外。

@thatlazyman 网安也很卷。但我觉得还是比开发好很多。起码不用 996 ，不会问你八股文。

没有项目就业挺难的，一个最常见的问题就是：讲一讲你认为具有挑战的攻防过程。

如果转行，才出来估计只有 15K 左右，广州的价格。学习方法见 102 楼。

@tianzi123 完全看书学，要看好多，效率挺低的，因为网络安全的东西比较杂。

比如学前端，不外乎 HTML ，CSS ，JS ，外加一些主流框架。

比如后端 Java ，不外乎 Spring 全家桶。

而网络安全呢。从信息收集，到漏洞评估，再到漏洞利用，再到控制目标主机，一整条攻击链路，涉及的东西太多了。

比如域名爆破，得知道 DNS 。比如 SQL 注入，你得懂 Web 安全。遇到一些防护设备，还要想办法绕过，这背后都是对基础和原理的考验。这些都还是初级水平的东西。

如果做高级攻防，还涉及到红蓝对抗的东西，涉及的东西就更多了。比如业务服务器集群处于内网，有些复杂的架构还有好几个层次，如何一层一层攻进去，拿到最核心的数据，同时还要避免安全设备和软件的报警。曾经和网警合作过，打掉了涉案资金上亿，银行卡数据上百万条的博彩团伙。攻防活动往小了说可以是公司之间的安全服务，往大了说可以是国家之间的网络对抗。

如果要去大公司自己的安全部，保护雇主企业的安全，而不是面向其他企业专门做安全服务的公司，信息安全制度，ISO 那一套东西也让人挺头大的。不信的话，你看下 CISSP 的书有多厚就知道了，比编程的书都还砖头。这种公司，很多都是管理大于技术，很多人都是技术做腻了，去这类公司当管理。

也有一些人对技术细节更感兴趣，这类人去做安全研究了。比如我们所熟知的 Struts2 ，JBoss ，还有前段时间的 Log4J 漏洞，都是这帮人研究出来的。某培训机构培训安卓逆向，承诺月薪 3W ，写进合同的这种承诺。

我自己的心得是，做安全比较吃基础。推荐计算机科班生，如果你满足这个条件，对攻防或者是研究感兴趣，可以来试试。

做攻防可以从小迪的课程开始学起，先让自己能够会渗透测试，再望高级攻防和红蓝对抗的方向发展。B 站有免费的课程。

如果想去企业安全部的同学，可以关注下农夫安全的公众号。农夫安全也是一家培训机构，现在创始人不想做了，打算把课程完全开源，正在筹备，可以关注下。

卡巴斯基，漏洞扫描功能。
https://s3.bmp.ovh/imgs/2022/03/6647531ad6851e8c.png