邯郸团队做了一次技术分享，重点聊接口安全
有位邯郸的开发者问我，接口安全为什么要排在分享主题的最前面？我一般这么答：这类分享我们每季度做一次，讲的人轮流来。邯郸团队上个月那场，定的就是这个主题。原因很实在，接口出问题的后果比很多人想的重。数据被刷、被爬、被越权查看，往往都是接口没守住。
为什么把接口安全排在前面
团队里做过接口项目的同学，讲了自己碰到的情况。最多的问题不是技术难，是上线太急，校验项被砍掉了。参数没做类型检查、频率没做限制、日志没记调用方，三项都能被利用。分享会上把这些情况一条条摆出来，比讲理论有用。听的人自己就能对上号。
我们还统计了接手过的项目里接口问题的分布。鉴权、限流、日志这三类占了绝大多数。也就是说，把这三项做好，风险就能降下去一大截。丛台区、邯山区那边做软件的团队，规模普遍不大，更没有余力做全量测试。这个结论不新鲜，但摆出数据之后大家记得更牢。
分享要讲具体，不讲口号
分享最怕变成念 PPT。我们要求每人准备 2 个自己踩过的坑。这次讲到了签名时间戳没校验，还有令牌过期没做刷新。这些都是真实发生过的，听的人容易代入。讲自己踩过的坑，比讲别人的案例有说服力。
分享完还要落到清单上。我们把讨论出的检查项整理成了上线前的自查表。邯郸做软件开发的公司不少，很多团队规模不大，没有专门的测试岗。有张能照着勾的表，比靠记忆靠谱。讲完不落地，下次还会犯。
讲出来的经验才是团队的
个人的经验如果不说，等离职就带走了。分享会的作用是把个人经验变成团队资产。我们要求每次分享都留一份书面记录。后面新同事入门，直接看记录就能上手。邯郸这边团队人不多，每个人的经验都很值钱。
常见问题
技术分享多久做一次
我们按季度做，每次 1 个主题，轮流主讲。紧急问题会临时加一场。
分享记录对外公开吗
不公开。涉及具体客户和项目细节的内容，只在团队内部留存。
新人跟不上怎么办
分享前先说背景，讲完留提问时间。新人也可以从记录里回看。
邯郸信服无限做这类分享，重点不在于讲了多深，在于讲完之后有没有改进。能落到流程里的变化才算数。你把团队人数、现在的记录方式说个大概。信服无限邯郸团队主要做这块，方案怎么定可以一起碰。