报表自动化的兜底：数据权限、脱敏与出错时谁负责

自动跑报表最省事，也最容易出事——一份带手机号和客户名的表被群发出去，或者口径改错没人发现，等发现时数据已经流到十几个人手里。这篇不聊怎么写脚本，只聊上线前要钉死的几件事：哪些字段必须打码、谁能看原始数据、跑错了谁负责回滚和通知。最后附一张照着勾的确认表。

自动跑报表这事，最舒服的地方就是不用人管，最危险的地方也在这——没人盯着的时候，一份带客户手机号和全名的表可能被群发到十几个人的群里，等发现时数据早流出去好几轮了。所以这篇不讲怎么写脚本、用什么调度工具，只聊上线前必须钉死的三件事：哪些字段必须打码、谁能看原始数据、跑错了谁负责回滚和通知。

这三件事都属于「上线前花半天、出事时省一周」的类型，而且都不难，难在有没有人认真过一遍。下面按字段分级、权限管理、出错兜底、上线确认表四块来说，每块都给能直接照做的动作。

先定字段分级，再动自动化

字段分级的意思是：把报表里每一个字段都过一遍，标上它属于哪一档。分三档就够用：可以原样输出的、必须打码才能输出的、只能做成聚合不能出明细的。很多人是先写自动化，写完发现某个字段不该出现，回头改脚本成本很高，顺序反过来就轻松很多。

• 手机号、身份证号、银行卡号、客户全名、家庭住址、完整订单号这类，默认进第二档，必须打码
• 能定位到具体某个人的组合字段也要当心：比如「小区名 + 楼栋 + 姓氏」，单看都普通，合起来就能锁定人
• 打码不等于删字段。保留尾号、数值区间或哈希值，业务方还能核对、还能对账，但不至于还原出个人
• 聚合结果也要看口径：某个分组只有两三个人，这个「平均值」本身就等于把个体暴露了，要设最小展示人数

常见的打码方式对照

谁能看原始数据：权限别按人情发

权限最容易出问题的地方是「按人配」，今天张三要，明天李四要，配着配着就谁都看得到。正确做法是按角色配：报表查看者只看打码版，业务负责人看聚合版，原始明细只有数据责任人能碰，而且拿原始数据这件事本身要留痕。

• 导出比查看危险得多，把「能不能导出」单独当一个权限项来管，不要跟查看权限捆在一起
• 导出的文件带上导出人标识或水印，出事时能追溯到是哪次导出
• 外部协作方——外包、代理商、客户方——一律走打码版或聚合版；确实需要明细的走临时授权，到期自动收回
• 权限变更要有记录：谁在什么时候给谁开了什么，别口头一句话就生效

权限排查顺序

1. 列出所有拿过原始数据的人不管是账号还是文件，先列出来，看看有没有已经离职或换岗还在列表里的
2. 按角色重新对齐把人往角色上套，套不进去的说明这个权限本身就不该常设
3. 检查导出记录看最近哪些人导出过含明细的文件，导出的和实际需要的对不对得上
4. 清理常设账号外部协作方的常设账号能收就收，改成临时授权加到期回收

跑错了怎么回滚、谁来通知

自动化跑错分两类，处理方式完全不同。一类是口径算错但结果还没外发，这种改完重跑就行，成本很低。另一类是已经发到外部或者大群，那就得走撤回和说明流程，别抱侥幸觉得对方没看——真出事的时候，对方看没看不是你能决定的。

• 给自动化加闸：跑完不直接发，先落到暂存区，做行数、总额、关键字段空值率的自检，异常就停推而不是硬发
• 自检规则要有阈值，比如行数波动超过一定比例、总额跟上游对不上，都触发暂停
• 定清楚谁负责：日常异常找值班人，涉及外部外发的由数据责任人出面通知
• 通知内容写三样：影响范围、已经做了什么、需要对方配合什么，别只发一句「发错了」
• 留一份可回溯记录：每次跑的时间、用的哪版输入、输出文件指纹、发给了谁

出错类型与应对

上线前确认表：照着勾一遍

下面这张表建议在自动化上线前打印出来或者贴到文档里，一项一项过。不用追求一次全做完，但每一项都要有人认领、有明确的完成标准，不能停留在「应该没问题吧」。

责任落到岗，不落到人

小团队经常一个人兼好几个角色，这没关系，但至少要保证「谁下载过含明细的文件」查得到。责任人写岗不写名字，人会走、岗还在，交接的时候不用重新想一遍谁该管什么。外部沟通人最好有两个，避免主责人不在就没人能出面。

还想再加一层保险的话，把每次上线的确认表存档，下次改口径、换数据源的时候翻出来对照，看看这次动的东西有没有碰到之前确认过的项。具体每项该填什么数值、阈值多少合适，可以到 /sites 和 /price-watch 看站内当时的对照数据再定，别照搬别人的数字。