Datasette 发布了 1.0a39 和 0.65.4 两个安全补丁版本，分别面向当前 alpha 系列和稳定版 0.65.x 系列，并建议在公网运行、尤其是同时包含公开与私有表的实例尽快升级。消息没有说明具体修了哪些漏洞，也没有给出严重等级。但对正在面试后端或数据工具岗位的人来说，这条动态本身就是一个很好的提问切口：维护者把“升级”当成一个明确动作，而不是一句“我们很重视安全”。

面试时怎么问出团队对安全补丁的真实响应习惯？

不要问“你们重视安全吗”，这个问题只会换来标准答案。换成问最近一次安全补丁，从发布到生产环境上线用了多久，中间经过谁审批、谁拍板。

两种回答的差别很大。一种能说出具体流程：谁订阅了依赖的安全公告，谁评估影响面，紧急补丁走什么通道，上线后怎么验证。另一种只能给出“我们会尽快处理”这类模糊表述。前者说明团队把补丁响应当成日常工程动作，后者可能意味着每次升级都靠某个人临时想起来。

可以追问一句：如果补丁发布时正好赶上发版冻结期，你们怎么处理？这个问题能看出团队有没有为安全响应预留例外通道。

公网实例和内部实例的维护优先级，能反映什么团队差异？

素材特别区分了公网运行、公开与私有表并存的实例，提示不同暴露面的维护优先级并不相同。面试时可以问：你们对公网服务和内部服务的升级节奏一样吗？

如果团队对两者一视同仁地拖延，说明维护流程可能缺乏分级意识，入职后你可能要花时间补这类坑。如果团队能说清公网实例优先、内部实例按窗口排期，至少说明他们想过暴露面和风险的关系。

这里要注意，你问的是习惯，不是要对方交出内部安全文档。对方如果只愿意谈原则，也可以接受，但要留意他是否连“谁负责决定升级”都说不清。

稳定版和 alpha 版并行维护，对判断工程节奏有什么参考？

1.0a39 面向 alpha 系列，0.65.4 面向稳定版 0.65.x 系列，两条线并行发布。同时维护稳定版和预览版，需要额外的分支与发布纪律。

面试时可以问：团队如何决定把修复回合到哪些版本？是只维护当前生产版本，还是同时照顾旧版本？这个问题能帮你判断发布管理是否清晰，也能看出你入职后要面对的是“一条主线”还是“多条线并行”。

一个实际可做的小建议：面试前挑一个你熟悉的依赖，查一下它最近一次安全补丁的发布时间，面试时用这个具体例子提问，比泛泛地问“你们怎么做安全”更容易得到真实回答。模拟场景只用来练习提问思路，不要当成对方团队的实际做法。