负责公司核心本地生活APP（月活500万+、覆盖300+城市）全生命周期安全开发与防护，覆盖需求分析、安全功能设计、漏洞修复及黑产威胁对抗，联动产品、测试团队落地隐私合规与业务安全策略

• 主导设计客户端安全加固方案，针对用户隐私数据（地址、支付信息）及核心功能（订单提交、优惠券核销）的防护需求，选用爱加密VMP代码保护+ProGuard进阶混淆+资源文件AES-256加密组合策略，解决前期AndroBugs静态扫描发现的“字符串硬编码”“反射调用敏感支付接口”“资源文件未签名校验”等8类高危漏洞；加固后第三方渗透测试漏洞数从12个降至3个（均低危），上线6个月未出现客户端破解导致的数据泄露，支撑APP应用商店安全评分从4.2分提升至4.7分
• 核心参与通信链路安全改造，应对HTTPS劫持与中间人攻击风险，推动TLS 1.1升级至TLS 1.3，并集成OkHttp 4.9.1自定义TrustManager实现证书锁定（Certificate Pinning）；针对Android 5.0以下（占比15%）兼容性问题，通过动态加载Bouncy Castle兼容库实现降级适配，改造后通信安全检测通过率从78%提升至99.2%，半年内无通信数据篡改/窃取案例，支撑支付功能通过PCI DSS预评估
• 重点优化反作弊与反爬机制，针对黑产模拟器运行、篡改GPS刷优惠券问题，引入腾讯云移动安全SDK设备指纹（IMEI+MAC+硬件特征码）+行为分析（点击频率、页面停留时间）组合策略，开发后台实时拦截接口；上线后黑产刷券成功率从23%降至5%以下，每月为公司挽回约25万元优惠券损失
• 推动建立APP安全漏洞闭环管理流程，整合AndroBugs静态扫描、MonkeyRunner自定义脚本动态测试及人工渗透，每周输出漏洞报告，联动开发团队制定“高危24小时、中危72小时”修复SLA，并将安全指标纳入开发KPI；实施后漏洞修复周期从5天缩短至2天，季度漏洞存量下降60%

负责公司电商类APP安全功能开发与漏洞修复，支持隐私合规落地及黑产对抗，参与构建移动端安全防护体系

• 独立开发APP隐私合规检测模块，基于《个人信息保护法》梳理12项敏感权限（位置、通讯录）申请场景，用Python编写ADB日志分析脚本实现动态检测，上线后应用商店隐私合规审核通过率从85%提升至100%，避免因合规问题导致的APP下架风险
• 主导修复“WebView远程代码执行”漏洞，分析OWASP A01:2021注入风险后，定位到WebView允许加载任意JS接口的问题，采用“白名单限制接口调用+禁用File域访问”方案，通过第三方安全公司验证，后续未再出现此类漏洞报告
• 搭建APP安全监测平台，用ELK Stack收集崩溃日志与安全事件日志，每周输出监测报告，发现3次黑产伪造设备ID批量注册攻击，联动运营封禁异常账号，避免用户信息批量泄露
• 参与APP性能优化，用MAT工具分析内存泄漏，定位到Bitmap缓存未及时释放问题，采用LruCache替换HashMap缓存，内存占用下降40%，卡顿率从15%降至3%，间接减少因性能崩溃引发的安全风险

参与本地生活APP核心功能开发，积累移动端开发经验，为后续安全工作储备业务理解与技术基础

• 负责“订单详情页”与“优惠券领取模块”开发，用Java实现业务逻辑，通过优化图片懒加载与数据缓存，页面加载速度从3秒缩短至1.2秒，模块上线后用户留存率提升8%，奠定后续识别核心业务安全风险的基础
• 参与解决Android低端机卡顿问题，用MAT分析内存泄漏，定位到RecyclerView复用机制不当问题，优化ViewHolder创建逻辑，卡顿率从12%降至2%，培养对移动端性能敏感度以识别安全隐患
• 协助测试团队编写50+条Espresso自动化测试用例，覆盖核心功能场景，测试效率提升30%，学会从测试视角覆盖风险场景，为后续安全测试提供思路
• 参与APP启动页安全优化，修复“启动图被篡改”问题，采用数字签名校验机制确保启动图资源完整性，上线后再未出现启动页恶意植入广告的情况

电商平台全链路支付风险防控体系重构

• 星途互动作为年GMV超500亿的头部社交电商平台，支付环节面临虚假交易套券、黑产批量盗刷、营销薅羊毛等核心风险——原有基于静态规则的支付风控系统漏报率达12%、误拦截率8%，大促期间客诉率上升15%，直接冲击用户留存。我的核心目标是主导重构全链路支付风险防控体系，实现“精准拦截风险+最小化正常用户干扰”的平衡。
• 项目难点集中在三点：一是原有系统与支付网关、用户中心、商品库耦合度高，无法整合交易行为、设备指纹、用户画像等多源数据做关联分析；二是实时决策要求延迟≤200ms，传统规则引擎计算效率不足；三是黑产通过虚拟手机号、模拟器注册小号批量作案，静态规则易被绕过。我选择Flink构建实时数据管道整合12类数据源，用Neo4j图数据库存储用户-设备-订单关系网络，结合XGBoost训练融合20+特征的风险预测模型，同时将规则引擎升级为可配置的策略中心。
• 我的关键行动包括：1. 主导支付网关风控接口改造，将同步拦截改为“异步通知+人工复核”，兼顾实时性与准确性；2. 设计30+风险标签的特征库（如“小额多笔”“跨地域支付”），覆盖90%以上黑产模式；3. 优化图计算查询逻辑，将团伙识别时间从分钟级缩至秒级；4. 推动策略中心上线，让运营人员可动态调整阈值，降低技术依赖。
• 项目成果显著：重构后漏报率降至3%、误拦截率降至2%，双11支撑1.2亿笔支付零重大事故；客诉率下降20%，支付转化率提升5%；策略中心使运营规则调整效率提升70%，年节省人力成本超80万元。我个人也沉淀了“实时数据关联+图计算团伙识别+机器学习预测”的支付风控方法论，成为公司支付安全的核心技术负责人。

SaaS服务API接口安全加固与自动化检测平台研发

• 云帆科技的企业级SaaS产品（CRM/ERP）服务超10万家企业，但API接口频繁遭受恶意爬取、越权访问、重放攻击——原有依赖手动渗透的检测方式每月仅覆盖20%接口，2021年因此发生3起数据泄露事件。我的目标是研发自动化API安全检测平台，覆盖OWASP API Top 10漏洞类型，实现漏洞主动发现、风险评估与修复指引，支撑产品合规与安全。
• 核心挑战是：1. 模拟真实黑产攻击场景（如动态生成绕过WAF的payload）；2. 兼容RESTful/GraphQL等不同API类型的检测逻辑；3. 让开发人员快速理解漏洞并修复。我基于Burp Suite Extender开发自动化插件，集成OWASP ZAP引擎实现被动+主动扫描；构建10万+条漏洞payload库，支持动态参数替换；用OpenAPI解析文档自动生成测试用例，同时用Elasticsearch+Kibana实现结果可视化。
• 我的突破点在于：1. 针对GraphQL深度查询攻击，设计递归遍历查询深度的检测逻辑；2. 优化扫描请求频率，既避免触发速率限制又保证效率；3. 推动平台集成CI/CD流程，实现API上线前自动扫描，阻断有漏洞接口发布。此外，我还制定了“漏洞风险等级+修复代码示例”的输出标准，提升开发修复效率。
• 项目成果：平台上线后检测效率提升50%，覆盖95% OWASP API Top 10漏洞；每月100%覆盖新增接口，漏洞修复周期从7天缩至2天；2022年公司通过ISO 27001认证，未发生API相关数据泄露。开发人员反馈修复指引准确率达90%，大幅降低沟通成本。这个项目让我从“漏洞修复执行者”转变为“安全工具研发者”，奠定了我在SaaS安全领域的专业能力。

支教时发现乡村小学因缺乏实验器材，科学课多停留在课本讲解。返校后联合实验室开发出百元级科学实验背包，内含20个基础实验器材。为确保可持续运营，设计配套视频课程与城乡结对系统，并培训132名大学生担任远程助教。项目覆盖9省47所学校后，学生科学兴趣评分提升35%。这段经历教会我用产品思维解决社会问题，当看到孩子们用自制望远镜发现土星光环时，我理解了教育的真谛是点燃可能性。