众人拾柴火焰高：社区精神如何助力培养更出色的安全开发人员

“众人拾柴火焰高”这句谚语源自古老的非洲，流传于多种不同的非洲文化、方言和地区。尽管表达这一智慧结晶的语言各异，但其核心理念如出一辙：只有汇聚整个社区的力量，才能营造一个安全、积极且富有启发性的环境，将下一代培养成全面发展的人才。

这听起来或许有些牵强，但事实上，开发者社区几十年来正是依靠这一原则蓬勃发展。那种认为程序员都是不善社交的“独行侠”的刻板印象，就像大多数刻板印象一样：不仅夸大其词，也无法准确反映我们的工作方式。开发者来自各行各业，类型多样，而我们所做的一切始终都蕴含着一种社区精神。

早在互联网普及之前，我们就已经在公告板上分享技巧、解决彼此的问题，并为最佳实践争论不休（当然，就我个人而言，也曾努力尝试去破解各种东西）。这种精神从未改变。如今的互联网已大不相同，充斥着更多的网络喷子和噪音，但只要你快速浏览一下 Reddit 和 Stack Overflow 等平台，就能立刻感受到那种乐于助人、志同道合的氛围以及海量的信息资源。

然而，我们都可以进一步支持的是那些与有着相同经历的人建立现实世界的联系。在现实生活中互动具有更深层的意义，促进“线下”社区的发展，能够以极佳的方式加速知识共享、澄清疑虑并拓宽视野。

开发者社区如何支持安全工作？

像 OWASP 这样的组织在安全社区中做着令人惊叹的工作，提供了大量关于漏洞、新闻和关键警报的免费资源。在线下，OWASP 在全球各大城市设有分会，定期举办活动，让人们聚在一起探讨安全问题，分享让软件更安全的小技巧。这真的很棒，对我而言，这就是开发者社区的精髓所在。

无论是在线还是线下，这些社区都有助于弥合开发者之间的技能和知识差距。许多经验丰富的开发者都非常乐于传授知识、帮助新人入门或指明方向（任何优秀的绝地武士都知道，他们偶尔也需要帮助一下学徒）。

因此，能与他们合作举办安全编码竞赛等活动，总是一件令人乐见其成的事。到目前为止，我们已经支持了在澳大利亚、英国、印度和美国的聚会，我希望未来还会有更多这样的活动。

OWASP 竞赛聚会是什么样的？请观看这段在伦敦标志性的 BBC 工作室举办的 OWASP 竞赛视频：

这些活动无疑有助于提升安全意识。当组织支持这些基层倡议、引入成熟的安全编码培训，并承诺营造积极的安全文化时，这种势头便能在组织内部发挥作用。

如何通过游戏化和竞赛来培养更具安全意识的开发者？

OWASP 聚会旨在促进社交、分享知识并与广泛关注安全的人士交流想法。然而，对于那些刚接触安全领域（或尚未产生兴趣）的人来说，这些活动可能容易被忽视。

当组织在建立安全意识和激发开发者群体真正的兴趣方面发挥积极作用时，就能产生积极的连锁反应，在内部灌输终身追求安全知识的动力——这正是我们需要让每个人都更加认真对待安全编码所必需的。

传统的培训方法往往难以激发动力（试想一下，坐在教室里，手头的工作堆积如山，或者为了不打瞌睡而观看冗长的视频），但激发竞争意识、趣味性并将过程游戏化，可以使学习不再枯燥。游戏化学习方法将技术性（有时甚至是枯燥的）知识变得更易于消化，将其拆解为更小、更符合语境、令人印象深刻且鼓励重复学习的模块。Secure Code Warrior 建立在易用性的基础上，允许开发者一步步积累之前的学习成果，这种方式契合了他们的创造力和解决问题的本能。

评估有助于让每个人保持进度并找出改进领域，但安全编码竞赛可以成为组织安全意识和积极变革的催化剂，也是参与者展示其强大技能的一种方式。毕竟，当你看到竞赛排行榜实时更新时，你就会有动力去争取更多积分，真正展现你的安全实力。

一场成功的竞赛是什么样的？

我们与 OWASP 举办聚会的初衷，始终是为了投资于安全社区的持续健康发展，帮助他们推广“学习安全其实很有趣”这一理念。

举办安全编码竞赛是吸引开发人员的不二之选，这能帮助他们在志同道合的社交环境中磨练并展现技能。竞赛有助于打破围绕“安全”概念可能存在的隔阂，消除以往在工作或学习中留下的负面印象。

一场真正出色的竞赛通常包含以下要素：

• 适当的宣传造势；让开发团队以外的人员了解活动的意义与目的
• 营造包容的氛围，为各水平的开发人员提供支持
• 提供一些特别福利；准备餐饮，设定主题并鼓励个性化表达
• 奖励与认可；开发人员通常很喜欢周边礼品，为获胜者准备精美奖品更是锦上添花：请记住，未来的安全专家可能就在此过程中脱颖而出
• 建立社区感与同僚情谊。

我们正迈向 DevSecOps 时代，随着安全问题在软件开发项目初期就受到重视，开发人员需要尽早参与有效的培训。他们是组织抵御漏洞的第一道防线，从编写代码的那一刻起就至关重要。在蓬勃发展的安全文化中，每个人都能更加安心。