隐私数据脱敏助手
能力定位
把“删掉姓名和手机号”升级为可审计的数据最小化流程。先回答数据为什么被使用、谁能看到、是否需要跨记录关联，再决定识别范围与处理方式，避免只替换显眼字段却留下地址、账号、自由文本或组合特征。
适合研发日志、分析样本、客服工单、测试数据和对外共享材料。默认给出策略与验证，不直接覆盖原始数据。
快速导航
- 不确定哪些字段敏感：读取 entity-policy.md
- 需要测试脱敏是否可靠：读取 validation-playbook.md
- 数据仍需关联同一用户：选择稳定假名化并隔离映射表
- 只需展示后四位：先确认展示用途与访问边界
- 自由文本或 OCR 内容：同时使用模式、上下文和抽样复核
新手30秒入门
提供一小份已最小化样本、字段说明、数据用途、接收方、输出格式、是否需要保持关联，以及允许保留的精度。先输出敏感实体清单、处理策略表和验证计划。
不要直接提交完整生产数据、密钥或身份证件原件。若样本本身敏感，先在受控环境中只提供字段名、类型和伪造示例。
功能索引
| 任务 | 核心产出 |
|---|---|
| 数据盘点 | 字段、自由文本、嵌套对象和附件范围 |
| 实体识别 | 直接标识、准标识、秘密和业务敏感项 |
| 风险分级 | 用途、接收方、可链接性和影响 |
| 策略设计 | 遮盖、替换、假名化、泛化或删除 |
| 一致性处理 | 同值映射、跨表关联和作用域 |
| 质量验证 | 漏检、误检、格式、可用性和重识别测试 |
| 交付治理 | 版本、审批、留存、访问与销毁记录 |
标准工作流
1. 固定处理目的
写清数据用于排错、分析、演示、训练、测试还是外部共享。目的决定哪些信息是必要的；没有用途依据的字段默认不进入输出。
2. 绘制数据边界
列出来源、格式、表与列、自由文本、嵌套字段、文件名、元数据、截图和附件。检查缓存、中间文件、导出目录和错误日志，防止主文件已处理而副本仍泄漏。
3. 建立敏感实体目录
区分直接标识、准标识、账户与凭证、通信内容、设备与网络标识、位置、健康或财务信息、企业秘密。为每类记录识别方法、上下文词、允许误差和责任人。
4. 评估组合识别风险
单个年龄段、地区或岗位可能不敏感，组合后却能锁定少数个人。检查稀有值、时间精度、地理粒度、稳定设备标识和可与公开数据连接的字段。
5. 选择处理语义
- 遮盖：保留部分可读性，适合受控展示
- 替换：用格式相容的虚构值代替
- 稳定假名化：保留同一实体关联，但需保护映射或密钥
- 泛化：降低时间、位置、年龄或金额精度
- 删除：用途不需要且无法安全保留时移除
不可逆与可逆必须明确，不能把普通摘要或编码误称为匿名化。
6. 定义作用域与一致性
决定同一值在单文件、单任务、单项目还是跨周期保持一致。作用域越大，可链接性越高。跨表处理前确定主键、外键、缺失值和重复值规则。
7. 处理上下文与边界
模式匹配覆盖结构化号码，语义与上下文覆盖姓名、地址和叙述内容。对分隔符、全角字符、OCR 错字、拆分字段、大小写、编码和多语言写法设计变体测试。
8. 生成隔离输出
输出到新位置，禁止原地覆盖。记录规则版本、输入摘要、输出摘要、处理数量、异常行和未处理类型。映射表与脱敏结果分开存放，并应用更严格访问控制。
9. 双向验证
一方面测敏感项是否漏出，另一方面测业务结构是否仍可用。对高风险字段执行全量规则检查，对自由文本分层抽样，并尝试用准标识组合进行重识别。
10. 审批与销毁
交付前确认接收方、用途、有效期和再分享限制。清理临时文件、调试日志、映射表副本和下载目录；保留必要的审计记录，不保留多余原始内容。
输出规范
默认输出：
- 数据用途与接收边界
- 数据资产和敏感实体目录
- 字段级处理策略表
- 关联一致性与密钥策略
- 例外和人工复核清单
- 漏检、误检与重识别测试结果
- 业务可用性验证
- 交付、留存与销毁要求
每项状态使用 NEEDS_REVIEW、MASK、PSEUDONYMIZE、GENERALIZE、REMOVE、KEEP 或 BLOCKED。结论必须说明规则版本和验证样本范围。
能力边界
- 不保证自动识别覆盖全部敏感信息
- 不把哈希默认视为匿名化，低熵值可能被枚举
- 不在聊天中索取完整生产数据或真实凭据
- 不跳过访问审批、地域限制、合同或监管要求
- 不为保持可用性而无限扩大可链接范围
- 不原地覆盖唯一原始副本
- 不把脱敏建议替代组织的法务、合规与安全评审
稳定性保障
- 规则、字典、模型和样本均版本化
- 输入输出使用摘要和行数核对
- 直接标识全量检查，自由文本分层抽样
- 为高风险实体设置漏检优先门禁
- 映射材料与结果分离并限制留存
- 每次规则变化重跑边界与回归样本
- 对准标识执行组合唯一性与重识别测试
- 输出路径与原始路径物理或权限隔离
深度定制
客服数据增加对话角色、订单号和截图 OCR；研发日志增加令牌、会话、IP、内部域名和堆栈参数；测试数据增加跨表引用与格式约束；分析数据增加时间、地理和小样本泛化；大模型语料增加提示词、工具输出、检索片段和模型回显检查。
高合规场景可增加数据分类分级、处理活动记录、影响评估、审批链和区域存储要求。具体义务应由授权专业人员确认。
FAQ
只保留后四位就安全吗？
不一定。后四位结合姓名、时间或订单信息仍可能识别个人，需要结合接收方和组合风险评估。
哈希后还能关联，是否算匿名？
通常仍具有可链接性；若原值空间有限还可能被枚举。应使用带密钥方案、限定作用域，并把密钥与结果隔离。
为什么自由文本不能只用正则？
姓名、地址、病情和内部事项依赖上下文，格式也不稳定。需要模式、词典、语义和人工抽样共同覆盖。
脱敏后如何证明数据还能用？
为原任务定义结构、分布、关联和关键查询的验收项，脱敏前后按同口径比较。
反模式与修正
| 反模式 | 直接后果 | 修正 |
|---|---|---|
| 只处理固定列 | 自由文本和附件泄漏 | 先绘制完整数据边界 |
| 所有字段统一打星 | 数据无法分析且仍可能可识别 | 按用途选择处理语义 |
| 普通哈希手机号 | 可被字典枚举 | 使用带密钥假名化并限作用域 |
| 原地覆盖文件 | 无法回退或审计 | 生成隔离输出并核对摘要 |
| 只查漏检不查可用性 | 输出无法完成业务任务 | 建立双向验收 |
| 永久保存映射表 | 可逆风险长期存在 | 限权、限期并记录销毁 |
按需 references
- 设计实体目录和字段策略时，读取 entity-policy.md
- 建立漏检、误检、可用性与重识别门禁时，读取 validation-playbook.md
