上周朋友小陈跳槽，从传统IT运维转岗做渗透测试，入职一家中型ref="/tag/177/" style="color:#479099;font-weight:bold;">安全服务商，税前18K，包三餐、年度体检，还有季度漏洞奖金。他问我：这算高吗？我说，得看你在哪干、会啥、敢不敢凌晨三点爬起来处理0day。
刚入行的新人，别盯着‘年薪30万’标题
招聘网站上写着‘网络安全工程师 20-40K’，点开一看要求：5年红蓝对抗经验、主导过SRC TOP10项目、熟悉ATT&CK框架+自研Exp编写——这基本是Senior甚至Team Lead的活儿。应届生或转行者实际起薪更实在：二线城市6-9K，一线（北上广深杭）普遍在9-14K之间。有CISP-PTE或CTF省赛前三的，能多谈1-2K；要是还能写Python自动化打点、配得齐WAF+SIEM规则，HR会多看你两眼。
干满3年，分水岭来了
不是所有‘三年经验’都一样。有人三年只做等保测评文档，有人三年在金融客户现场天天调防火墙策略、写应急响应报告、顺手挖出两个高危逻辑漏洞。前者跳槽可能涨到15K，后者手里攥着银行/证券的项目背书，加上几个CVE编号，下家开出22K+股票期权不稀奇。某招聘后台数据显示：具备‘实战攻防+日志分析+合规落地’三项能力的安全工程师，薪资中位数比单一技能者高出37%。
真金白银藏在这些地方
— 漏洞赏金：某电商SRC全年平均单人进账4.2万（含税），头部白帽超20万；
— 节假日值守补贴：金融、运营商客户通常按天结算，春节7天连值，到账1.5万很常见；
— 项目奖金：护网行动驻场，3个月结款常含2-5万绩效；
— 隐性福利：很多公司报销考OSCP、CISSP费用，有的直接签协议‘你拿证，我报销+涨薪3K’。
别光看数字，先问清这三件事
面试谈薪时，别只问‘到手多少’。要掰开看：
— 基本工资占多少？绩效怎么算？（有些公司把30%写成‘浮动部分’，结果半年没发）
— 年假是否足额？加班有没有调休？（安全岗半夜告警是常态，但连续三个月0调休就得掂量）
— 技术栈是否匹配？（天天写Excel报表的‘安全工程师’，和每天跑Burp+自写PoC的，成长路径和薪资天花板差得不是一点半点）
最后说个实在的：上个月杭州某初创安全公司招SOC分析师，要求熟悉Sigma规则、能看懂Suricata日志，给到16K，试用期不打折。他们老板原话：‘我们不招只会背概念的人，来就碰真实攻击流量，扛不住就换人。’
薪资从来不是孤立数字，它是你手上工具的重量，是你压过多少次告警的耐心，也是客户凌晨两点打电话来时，你能不能三分钟定位到失陷主机。