最近几年，网络安全圈的证书越来越卷了。
刚开始接触这个行业的时候，大家还在讨论 Linux、Python、网络基础、Web 安全这些东西。后来慢慢发现，光会技术好像还不够，简历上还得挂几个证书。CISP、CISSP、OSCP、CEH......一串串英文缩写看得人眼花缭乱，价格也是一个比一个让人沉默。
尤其是 OSCP，很多刚入行的人一看到考试费用，再看看自己的工资，第一反应可能不是我要怎么准备考试，而是我这个月房租交完以后，还剩多少钱？
网络安全行业里，证书确实有价值。它能够在一定程度上证明你的学习经历和专业能力，有些岗位甚至会把相关认证直接写进招聘要求里。所以，如果你已经有明确的职业规划，确定某个证书对自己的工作确实有帮助，那花钱去考没有什么问题。
但问题是，现在很多人好像已经被证书焦虑带着跑了。别人考了 OSCP，自己就开始慌；别人简历上有 CISSP，自己就觉得差了一截；培训机构再来一句没有证书很难进大厂，人一下就坐不住了。于是课程买了，考试报了，几千上万块花出去，最后证书拿到手，银行卡余额也成功归零。
然后第二天继续上班，工资还是原来的工资。这就有点尴尬了。
说白了，很多时候我们不是缺一个证书，而是太容易拿自己的情况去和别人比较。别人花一万块考证，可能人家收入不错，或者公司报销；你一个刚毕业的学生，一个月工资四五千，非得咬牙跟着考，最后连生活费都紧张，这其实没什么必要。
没钱就不考，不丢人。证书这东西，本质上就是一个工具。它可以给你的简历增加一点证明，也可以帮助你在某些职业节点上获得机会，但它不是网络安全从业者的身份证，更不是没有它就不能干活。
如果现在手头紧，与其为了考证硬挤出几千块，不如先把这些钱留下来，把生活过好。技术学习方面，能利用免费的资源就利用免费的资源，靶场、开源项目、技术博客、公开课程，能学的东西其实很多。
更重要的是，别光想着我还缺哪个证，先问问自己会什么。
Linux 能不能熟练使用？网络基础懂不懂？Web 漏洞能不能自己分析？Burp Suite 会不会用？遇到一个简单的问题，能不能自己查资料、搭环境、找原因、解决问题？
这些东西才是跟着自己走的。你有一张证书，别人可能会问你证书是不是真的；但你如果能把一个项目做出来，把一个漏洞原理讲明白，把一个实际问题解决掉，别人自然能看到你的能力。
当然，证书该考的时候还是要考。等你以后工作稳定了，收入上来了，而且明确知道这个证书对自己的职业发展有帮助，那就放心去考。该花的钱还是得花，没必要因为今天没钱，就否定证书本身的价值。
菜根只是觉得，没必要把考证搞成一种攀比。网络安全不是集卡游戏，不是集齐 CISP、CISSP、OSCP 就能原地升级成高级安全专家。更不是别人花了一万块，你就必须跟着花一万块。
成年人赚钱不容易，尤其是刚入行的时候，工资本来就不高，房租、吃饭、交通、人情往来，哪一样不要钱？这个时候为了一个证书把自己搞得生活捉襟见肘，没必要。先活下来，再谈证书；先把技术练起来，再考虑那些漂亮的英文缩写。
没钱的时候就承认没钱，没什么好丢人的。证书又不会因为你晚一年考就消失，真正重要的是，你别因为暂时没钱考证，就觉得自己没有资格进入这个行业。
等你有能力、有需求，也有了足够的预算，到时候再考也不迟。
所以，没钱就别硬考。不是躺平，也不是放弃，而是别为了证明自己有能力，先把自己的生活搞得一团糟。