脱敏到底改变了哪里？
有的措施只改变返回给某类用户的显示结果，底层原始值仍然存在；有的措施生成经过替换、删减或概括的新副本。必须说明改的是视图、输出还是存储内容，不能从页面上的星号推断其他入口也已经处理。[2]
021 / 数据与密码 / Data Masking
屏幕打了星号，导出的还是原文？
数据脱敏 · Data Masking
客服页面已把姓名与联系方式打成星号，准备交给测试团队的表格却还带着完整字段。即使删除姓名，精确年龄与地区的组合也可能认出一个人。别只看画面是否模糊，要检查真正离开边界的数据。
开始探索 ↓9–12 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
左侧屏幕保留电话尾号，中央装置输出带另一人物头像的遮罩卡，右下方红色资料卡仍显示较完整的字段。它提示不同出口可能暴露不同内容；换头像和打星号都不是匿名化或原始数据已销毁的证明。
本课任务 / 数据脱敏
分开检查展示遮罩、实际输出字段和组合识别风险，让每种脱敏措施对应明确的使用场景。
- 区分展示遮罩、变换副本与匿名化目标
- 核对导出中仍存在的直接标识符
- 识别准标识符组合与剩余重识别风险
亲手探索 / 不同条件，不同结果
把页面视图与准备交付的字段并排验一次。
对六条合成记录切换明文／星号显示，再比较原始导出、稳定代号和概化三种导出预览。按年龄与地区观察样本分组，分清删除直接标识与降低关联风险；不生成下载文件或接收真实资料。
数据与信任工作台 · 封闭离线模型
屏幕上的星号，挡住了导出内容吗？
对同一组虚构记录，分别控制屏幕显示和导出转换。核对输出的每个字段，再比较年龄与区域组合还能把多少人单独区分出来。
这项设置只改变下方屏幕预览，不改动导出数据。
移除字段在教学表格中显示为“移除”；真实导出应核验实际文件、接口和日志中的列。
| 记录标识 | 姓名字段 | 联系字段 | 年龄字段 | 区域字段 |
|---|---|---|---|---|
| DEMO-A | *** | *** | 24 | 东区-1 |
| DEMO-B | *** | *** | 27 | 东区-2 |
| DEMO-C | *** | *** | 31 | 西区-1 |
| DEMO-D | *** | *** | 34 | 西区-2 |
| DEMO-E | *** | *** | 42 | 北区-1 |
| DEMO-F | *** | *** | 47 | 北区-2 |
尚未检查当前条件。修改选择会清除旧结论，请重新检查。
先在星号预览下检查原始导出，再切换稳定代号和泛化方案。原始导出的记录标识同样可能帮助关联；没有 TOKEN 不等于不可关联。这里的同组人数只描述六条样本；外部资料、稀有属性与用途仍可能带来重识别风险，不构成匿名化保证。按钮只展示结果，不生成或发送真实文件。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先决定任务需要什么，少提供再变换
如果测试只需要地区分组数量，就不必先给完整个人记录再尝试掩盖。明确分析目标和交付对象，选择受控访问、聚合结果或经过评审的数据副本等方式。脱敏方案要同时评估可用性与披露风险，不追求保留越多字段越好。[1]
02 / 实用细节
动态遮罩不是数据库的完整防线
SQL Server 的动态数据掩码主要限制特定查询结果的暴露，不把底层数据变成密文。有临时查询权限的用户可能通过条件推断原始值；仍需访问控制、审计和其他保护。本实验不运行数据库，也不演示绕过语句。[2]
03 / 实用细节
检查实际输出，而不是只截一张屏
逐一验证接口、导出、错误记录和日志是否仍带原值，尤其是多个展示入口使用不同处理路径时。日志中的密码、访问令牌或密钥不应因为“能遮住”就先完整写入；应从采集设计上排除不必要的秘密。[5][2]
04 / 实用细节
稳定编号与哈希也可能留下关联
同一人物总得到同一个假名时，不同数据集仍可能被串联。对取值空间较小的标识直接做普通哈希，也可能被猜测或枚举比对；假名、映射表和相关密钥应按方案分离保护。不能把“看不懂这串字符”当成不可识别证明。[3]
05 / 实用细节
概括年龄或地区，只降低某些线索的精度
把精确年龄变成年龄段、细粒度地点变成大区域，可能减少唯一组合，但也影响分析价值。少数群体、自由文本和其他保留字段仍可能暴露个体。本例概化后每组两行，仅说明六条样本在年龄与地区上的重复；不检查全部准标识，也不保证匿名。稳定行顺序本身仍可能帮助关联。[4][1]
06 / 实用细节
发布前评审，变化后重新评审
记录处理版本、交付对象、用途、评审依据和允许的后续使用。数据规模、外部辅助资料或接收环境变化，都可能改变剩余风险；没有直接标识符不等于可以无限传播。必要时采用更受控的分析环境，而非直接公开逐行数据。[4][1]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
页面显示手机号星号，但接口仍返回完整号码，问题是？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- NIST SP 800-188 · De-Identifying Government Datasets ↗
去标识化、直接／准标识符、共享模型、评审与剩余风险
- Microsoft SQL Server · Dynamic Data Masking ↗
结果遮罩、原始值仍存在、临时查询推断风险；产品特定边界
- ICO · Pseudonymisation ↗
额外关联信息、假名与哈希风险；英国指导正在复审，不作跨地区法律结论
- ICO · Effective Anonymisation ↗
可识别性、链接与情境评估；只引用技术判断思路
- OWASP · Logging Cheat Sheet ↗
日志中的敏感字段、秘密排除与输出验证
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-11。