负责公司核心C端社交与B端协同APP全生命周期安全保障，涵盖自动化安全检测工具开发、关键模块深度加固、漏洞闭环管理及团队安全能力输出

• 主导开发「APP多维度安全检测中台」，整合Android AndroBugs、iOS Objection静态分析引擎与动态Hook框架（Frida、Xposed），结合OWASP Mobile Top 10与自定义业务规则库（如支付敏感操作未加密、第三方SDK越权访问），实现自动化检测效率提升70%，覆盖95%以上常见移动应用漏洞类型；同步接入CI/CD流程，将检测节点前置至提测阶段，推动开发侧主动修复率从35%提升至68%
• 针对公司旗舰社交APP的「私信加密会话」模块进行深度安全加固，采用DexGuard代码混淆+VMP（虚拟机保护）技术对抗逆向分析，同时引入「运行环境可信度评估模型」（检测root/jailbreak、模拟器、调试器附加），解决前期加固后偶现的「界面错位」「消息延迟」兼容性问题；加固后经第三方渗透测试验证，模块抗逆向破解能力从「易受攻击」提升至「高难度」，支撑了1000万+ DAU的隐私通信安全
• 搭建「APP漏洞全生命周期管理系统」，基于Python Django开发后台，整合静态检测报告、动态测试日志、用户反馈（App Store/应用宝评论区抓取关键词）三类数据源，实现漏洞「自动分级（高危/中危/低危）-派单至研发/测试-修复进度跟踪-复盘归档」闭环；系统上线后，漏洞平均修复周期从10天缩短至3天，年度累计处理漏洞120+个，较上一年下降40%
• 主导输出《移动APP安全开发最佳实践手册》，涵盖Android组件安全（Activity导出、BroadcastReceiver权限控制）、iOS Keychain存储加密、第三方SDK安全评估等12个核心场景，配套Jenkins安全扫描插件（集成Checkmarx Mobile、QARK）嵌入团队开发流程；推动团队安全编码合规率从65%提升至92%，新员工安全培训周期从2周缩短至5个工作日

负责公司企业级SaaS APP的安全防护体系构建，聚焦反破解、数据传输加密及威胁事件响应

• 针对B端客户反馈的「APP被逆向破解获取接口密钥」问题，重构反破解机制：在Android端增加「签名哈希动态校验」（每次启动时向服务器拉取最新哈希值比对）、「代码片段分段加载」（核心逻辑拆分为多个Dex文件，运行时动态拼接）；iOS端采用「Bitcode混淆」+「反调试断点检测」，结合服务器端动态Token验证（每5分钟刷新一次）；优化后破解尝试次数下降85%，关键业务接口未再出现密钥泄露事件
• 开发「端到端数据加密传输模块」，针对之前TLS 1.2协议下的「中间人攻击风险」，升级为TLS 1.3协议并启用AES-256-GCM加密算法，同时增加「数据完整性校验」（HMAC-SHA256）；经中国信息安全测评中心检测，数据传输泄露风险从「中风险」降至「无风险」，满足金融行业客户的安全合规要求
• 牵头处理一起「设备端数据篡改」安全事件：某批次安卓设备出现用户聊天记录被恶意修改，通过逆向工程定位到设备存储模块（SharedPreferences）未做权限控制，攻击者可通过ADB命令修改本地数据；快速修复为「存储数据加密+写入权限校验」，并增加「数据变更日志上报」功能，后续同类事件下降90%，客户满意度提升25%

负责公司C端社交APP基础安全能力建设，包括漏洞检测、反作弊及安全知识沉淀

• 搭建「移动APP安全检测流水线」，采用MobSF（Mobile Security Framework）实现静态分析自动化，覆盖AndroidManifest.xml权限滥用、iOS Info.plist敏感信息暴露等问题；用Burp Suite编写自定义插件实现动态测试流程标准化（如自动拦截登录请求篡改密码、检测接口越权）；累计发现并修复SQL注入、XSS、敏感信息泄漏等漏洞30+个，APP上线后6个月内未出现重大安全舆情
• 开发「虚假账号识别工具」，针对刷量、水军问题，提取用户行为特征（点击频率、滑动轨迹、设备指纹重复率），用Scikit-learn训练逻辑回归模型，识别准确率达到90%；上线后虚假账号占比从8%下降至2%，减少了20%的无效流量消耗，支撑了广告变现效率提升15%
• 编写《移动APP安全常见问题排查指南》，涵盖Android Activity劫持、iOS WebView跨域漏洞、第三方SDK隐私合规等15个高频问题，配套排查步骤与解决代码示例；成为团队新员工安全培训核心教材，新人独立处理安全问题的时间从7天缩短至2天，团队整体安全响应速度提升70%

星途游戏社交平台全链路安全加固与威胁狩猎体系搭建

• 星途游戏社交平台承载800万月活用户，面临黑产批量注册、恶意刷量（日均10万+无效请求）、用户隐私泄露及账号盗用（月均5000+起）等核心安全问题，需构建“入口-业务-数据”全链路防护能力，并实现主动威胁发现。我的职责是主导安全开发与威胁狩猎体系设计，联动研发、运营团队落地端到端防护策略。
• 项目难点有三：一是游戏场景高并发（峰值QPS 5万+）下，传统WAF规则引擎误报率高达20%，无法实时拦截新型AI生成的恶意payload；二是黑产利用动态IP池与模拟正常用户行为的手段，现有防御体系迭代滞后；三是缺乏主动威胁狩猎能力，依赖被动响应导致风险处置延迟。
• 我的核心行动包括：1）重构WAF规则引擎，引入基于Docker的轻量级动态沙箱，对未知请求进行行为模拟检测，将误报率降至5%以内；2）基于用户登录、互动、交易行为日志，用LSTM模型训练异常行为检测模块，识别“短时间跨地域登录”“高频小额转账”等12类黑产特征；3）搭建威胁狩猎平台，整合ELK Stack与VirusTotal、AlienVault威胁情报源，实现“日志采集-特征关联-告警处置”闭环，支持安全团队主动挖掘潜在攻击。
• 项目成果显著：全链路防护使恶意请求拦截率从75%提升至98%，日均无效请求降至1万以内；账号盗用率下降60%（月均降至2000起以下）；威胁狩猎累计发现32起黑产攻击事件（含2起未公开APT试探），避免约500万用户隐私数据泄露。支撑平台月活增长至1200万，助力获评“2023年度游戏行业安全最佳实践案例”，我的威胁狩猎方案被纳入公司安全标准库。

云迹企业服务SaaS平台零信任架构落地与权限治理系统研发

• 云迹企业服务SaaS平台服务50+家企业客户，面临多租户越权访问（季度内12起客户数据泄露）、内部员工滥用权限（月均8起违规操作）及第三方合作伙伴接入风险等问题。我的职责是基于零信任理念设计权限治理系统，实现“持续验证、最小权限”的访问控制，支撑平台合规与客户信任。
• 项目难点在于：一是传统RBAC模型无法适配微服务场景下的动态权限需求（如员工出差时需临时访问生产环境）；二是多租户场景下，权限策略需隔离且支持自定义，现有系统扩展性不足；三是缺乏统一权限审计，无法追溯违规操作链路。
• 我的关键创新与行动：1）基于OAuth2.1与OpenID Connect重构认证体系，结合OPA（Open Policy Agent）实现ABAC（属性基访问控制）模型，将权限与用户身份、设备状态（杀毒软件安装情况）、网络环境（企业VPN）绑定，支持动态调整权限；2）设计多租户权限中心，允许客户自定义角色与策略（如限制财务部门仅访问本部门数据），满足PCI-DSS合规要求；3）整合Istio服务网格，实现服务间调用的一致性认证授权，杜绝服务逃逸风险。
• 项目成果：越权访问事件下降85%（季度内降至1-2起），权限审批效率提升70%（从人工24小时到自动实时授权）；支撑平台获得ISO 27001认证，新增100+家企业客户（含3家金融机构），某头部金融客户审计通过率从60%提升至95%。权限治理系统被复用至公司CRM、HRM等SaaS产品，降低30%安全开发成本，我主导的ABAC模型成为公司微服务权限标准。

• 因痛心于年轻人对历史的疏离，我在B站创立「古人脱口秀」栏目，用职场梗解构历史事件（如《雍正皇帝的KPI保卫战》）。通过设计「颠覆认知-史料佐证-现代共鸣」三幕剧本模板，单期视频最高收获1.7万条弹幕互动。
• 两年间栏目播放量突破180万，作品被多地中学选为教学素材。这段经历磨砺出将学术内容转化为大众语言的能力，也让我理解到真实用户反馈才是创作者的指南针。