脱敏核心技术：替换、遮蔽、截断、哈希、加盐脱敏

数据脱敏说白了就是给敏感信息穿件“隐身衣”。我做了这么多年数据安全，见过太多方案把简单事搞复杂了。其实核心就五招：替换、遮蔽、截断、哈希、加盐脱敏。今天咱们就把这五招掰开揉碎聊清楚。

1. 替换（Substitution）

替换是我用的最多的方法。说白了就是拿假信息换真信息，但格式必须对得上。比如姓名“张三”换成“李四”，身份证号换成符合校验规则的假号。

举个例子：

原始数据：13912345678，真实姓名张三
替换后：   13999999999，真实姓名王五

应用场景：测试环境、开发环境、统计分析。我在某金融项目里就遇到过——测试团队非要真实卡号才能跑通，我一律替换成测试卡号池里的数据，既保证格式正确，又不用真号。

2. 遮蔽（Masking）

遮蔽大概是大家最熟悉的脱敏方式——露出关键信息的一部分，其余隐藏。你想想看，短信验证码里“138****1234”就是典型。

我个人习惯遮蔽时保留的位数刚好够用户识别身份，又不至于泄露完整信息。比如客服查订单时只显示前3后4的手机号，就足够确认身份了。

3. 截断（Truncation）

截断最简单粗暴——超了长度就砍掉。主要用于固定长度字段，比如信用卡CVV码只取后3位，密码只保留前8位。

原始密码：MyP@ssw0rd!2024
截断后：  MyP@ssw0r  （取前8位）

截断的缺点是信息丢失严重，不适合需要精确匹配的场景。比如姓名截断成2个字，可能会出现“张”和“张三”无法区分。

适用场景：日志脱敏、临时数据展示。但注意——数据入库前截断的话，原始数据就永远丢了。我有个同事曾经把客户地址截断成20个字符，结果后续做精准营销时发现乱码一堆…

4. 哈希（Hashing）

哈希是密码学里的老朋友了。输入任意长度数据，输出固定长度摘要。核心特性是——单向、不可逆。但这里有个坑：单纯的哈希对敏感数据不够安全。

为什么？因为彩虹表攻击。攻击者可以预先算好常见数据（比如所有手机号）的哈希值，反向查表还原原始数据。

原始数据：13912345678
哈希值(SHA-256)：a7ffc6f8bf1ed76651c14756a061d662f580ff4de43b49fa82d80a4b80f8434a

建议：生产环境中不要直接用普通哈希做脱敏，除非你确认数据空间极大（比如长文本）且不需要逆向。对于手机号、身份证这种有限空间数据，哈希等于没脱敏。

5. 加盐脱敏（Salting）

加盐脱敏就是在哈希之前给原始数据拼接一个随机串（盐值），然后再哈希。这样即使两个用户有相同的手机号，加盐后的哈希值也不同。

原始数据：13912345678
盐值：    @x9k#m2
加盐后： 13912345678@x9k#m2
哈希值：  b3f2a8c0e1d4...（和普通哈希完全不同）

盐值必须安全存储，否则加盐等于白加。我建议每个项目单独生成随机盐，并定期轮换。记住：盐值 ≠ 加密密钥，它只是个扰乱因子。

我那会儿做密码存储升级，就是从普通SHA-256切换到bcrypt加盐哈希。虽然慢了一点，但安全性提升了一个量级。客户审计时对方直接说“这个方案没问题”。

这五招组合起来能玩出很多花样。比如先截断再遮蔽，或者先替换后加盐。但无论怎么组合，记住一条底线：脱敏后的数据不能还原出原始数据（除非业务需要可逆脱敏且密钥安全）。下节课我们会讲各个方法的性能对比和选型策略，到时再深入聊。