众安信息安全工程师一面体验

#泡池子##秋招##校招##2024秋招#荡漾秋池映白鹿，游客纷至慕名顾。忽而瞥见池中物，一泓清池满枯骨。举目四顾皆白雾，寒气透心骨髓枯。孑身立于骨海中，惊觉此身亦同途。池水深深没千古，何时能从池中出？心如夏花非凋零，身若冬叶无归处。待到春风又一度，必能脱困出池湖!25届秋招，心情复杂的写下了我泡池子的心理变化：开始宁静而充满希望->变成阴森恐怖，开始害怕->发现自己艰难处境的绝望->感到悲伤，发出疑问->最后努力重振信心，希望脱困的一天到来。

CORS（Cross-Origin Resource Sharing）是一种机制，允许服务器在响应中设置HTTP头来指定哪些源（域）具有权限访问资源。它用于解决跨域请求的安全限制问题。要通过配置HTTP头来启用CORS，服务器需要在响应中添加特定的HTTP头。以下是常见的CORS相关头的配置：https://www.nowcoder.com/issue/tutorial?zhuanlanId=Mg58Em&uuid=b48bebe08e474db8b80b853b12bafd48Access-Control-Allow-Origin：指定哪些源可以访问资源。可以设置为具体的域名，例如Access-Control-Allow-Origin: https://example.com，或设置为*表示允许任何来源访问。这个头是必需的，否则默认情况下浏览器会阻止访问。Access-Control-Allow-Methods：指定允许的HTTP方法。例如，Access-Control-Allow-Methods: GET, POST, PUT, DELETE。Access-Control-Allow-Headers：指定允许的自定义HTTP头。例如，Access-Control-Allow-Headers: Content-Type, Authorization。Access-Control-Expose-Headers：指定哪些HTTP头可以暴露给客户端。默认情况下，只有简单的HTTP头（如Cache-Control、Content-Language、Content-Type等）会被暴露给客户端。为了启用CORS，服务器应该在处理请求时检查请求头中的Origin字段，并根据需要设置上述CORS相关的响应头。这样，浏览器就能根据响应头信息判断是否允许跨域请求。请注意，CORS必须由服务器进行配置，客户端无法手动启用或禁用。

秋招结束，会想起年初因为文章被拒遂投入到就业中，就一直在思考安全和开发选择哪个。我先说一下自身的痛点，可能有部分同学跟我一样，本身本科和研究生就一直在安全领域，但是可能更倾向于学术界的安全，就很尴尬的是这个东西和工业界差距蛮大的，然后CTF，挖洞基本没做过，有过一点逆向经历，这其实是蛮尴尬的局面。现在我再回过头来看这样一段经历的话，我觉得如果你跟我一样应该果断抛弃安全，然后顺着自己的优势去广撒网争取转行的机会。我的秋招历程差不多是这样：找实习（安全、开发都找），同时猛学java看八股某大厂实习（运气好，做的内容和研究方向有关）在实习期间收到了在川的某外企的offer，当时其实以为跟底层有关，本...