1. 岗位画像与面试重心解读1.1 安全行业大数据开发到底在做什么先把这个岗位的背景聊透。奇安信是做网络安全起家的业务线覆盖终端安全、威胁检测、态势感知、零信任、安全服务这些方向。这类公司的大数据开发岗位和互联网电商、短视频那种“用户增长驱动”的大数据团队有个很明显的区别你处理的数据几乎都是日志、告警、情报、资产信息这类东西而且场景非常固定——采集、清洗、关联分析、建模、预警、反查。以我当时面的这个“大数据开发工程师二”来说岗位日常打交道最多的就是海量安全日志的清洗和特征提取。安全日志和电商日志不一样它格式非常杂DNS日志、防火墙日志、终端行为日志、Web访问日志各有各的字段标准而且流量突发性极强——真发生攻击事件时短时间内涌入的日志量可能是平时的几十倍这导致数据倾斜、流量削峰、buffer堆积的问题特别常见。所以面试官问的问题几乎都围绕这几个点展开你能不能把乱到不行的日志变成干净的结构化数据你的链路在高峰期扛不扛得住数据算错了你能不能发现并修复这三个问题本质对应的是数据治理能力、架构设计能力和数据质量保障能力。建议准备面试的同学不要只刷“如何用Spark做WordCount”这种入门题要站在“数据管线负责人”的角度去复习才踩得中这种岗位的考点。1.2 面试考察维度拆解除了技术栈更看硬功底我复盘了一下整场面试的提问分布大概可以分成五个维度。建议你照着这张表自查任何一个维度短板太明显面评都会被拉低。考察维度高频问题类型考察目的Java与JVM基础HashMap底层、GC日志分析、OOM场景排查判断开发功底是否扎实能不能处理内存问题大数据组件原理HDFS读写流程、YARN调度、Shuffle原理判断你是否停留在API调用层面有没有理解底层实时与离线计算Kafka消费语义、Flink checkpoint、Spark Streaming判断你能否设计稳定可靠的实时链路SQL与数据建模Hive SQL优化、数仓分层设计、拉链表判断你是否具备数据治理、建模意识项目与架构思维介绍项目遇到的问题、如何选型、如何保证质量判断你的实战深度和解决问题的思路从问法上来讲面试官特别喜欢在你说完一个知识点之后追问一句“为什么这么设计”“如果场景变成XX倍数据量你还这么做吗”。这种追问不是刁难而是在试探你的知识边界。我当时在说Hive数据倾斜的时候就被追问了“倾斜的Key如果是热门搜索引擎的词你加盐之后业务结果怎么还原”。这种问题答得出来面试官才会觉得你是真在集群上处理过问题而不是只背了面试题。2. 核心知识点的深度复习离线与实时链路2.1 离线链路Hive数仓分层与Spark SQL调优实操离线链路是这类岗位的必考题几乎每轮面试都会问到数仓分层的设计思路。很多同学上来就背ODS、DWD、DWS、ADS但面试官想听的其实是你对“每一层到底解决什么问题”的理解而不是名词解释。我自己的理解是这样的ODS层就是把源头数据原封不动落一遍地这一层最重要的原则是“不改数据、只做备份”DWD层做清洗和标准化把JSON里的嵌套字段拆出来把时间戳统一成标准格式把不同来源的日志字段对齐DWS层做轻度汇总按维度提前聚合好宽表ADS层就是给业务查询用的结果表。这套分层最大的好处是每一层负责的事足够单一出了问题能快速定位是清洗逻辑错了还是聚合粒度错了。面试中Spark SQL调优考得非常多我总结了三个最常问的方向数据倾斜。最典型的场景是join的时候某一个key的数据量极大比如安全日志里的目标IP字段某些被攻击的IP可能承载了90%的日志量。解决方案最常用的就是加盐两阶段聚合先给key加随机前缀打散到多个分区做局部聚合去掉前缀再做全局聚合。但这个方案有个大坑如果倾斜本身是因为业务含义导致无法加盐比如事实表和维表join就需要换用Broadcast Join把维表分发到每个executor避免shuffle。具体用哪种要看倾斜key的数据量级我通常先跑一个count by key看看倾斜比例再定方案。小文件问题。安全日志按天分区已经很小了如果再按小时、按攻击类型分桶很容易产出几万个小文件元数据压力大、读取效率极低。常用的治理方式是在写入前用repartition或coalesce控制文件数再配合Spark的adaptive query execution在shuffle后自动合并小文件。如果是Hive表可以定期用INSERT OVERWRITE把N个小文件重写成N/10个或者直接开Hive的merge task合并。Join顺序优化。大表join大表时先过滤再join是最基本的两张大表join尽量把过滤条件下推到子查询里让Spark的谓词下推生效如果是三张表中间结果小的先join减少中间shuffle的数据量。这条原则听起来简单但我见过很多人写SQL的时候根本不关心执行计划导致扫描量翻了几倍面试时我会主动说出怎么看Spark UI的SQL tab和执行计划这一点非常加分。