📚 课程目录第2章常见脱敏技术

常见脱敏技术对比与选择

处理接口数据时，你总会遇到一个灵魂拷问——到底用哪种脱敏方式？

替换、掩码、截断、哈希、加密……光名字就一堆。我早年刚接触数据脱敏时也犯过晕，觉得“反正都是把数据变掉”，换哪个不都一样？后来踩过几次坑才明白：选错技术，轻则数据不可用，重则合规翻车。

这一节我把常见的五种技术掰开揉碎，说说各自的原理、优缺点，再给点实战取舍的建议。

替换（Replacement）

说白了就是用预设的假数据代替真数据。比如把姓名换成“张三李四”这样的词典值，或者把手机号随机生成一堆不通的号段。

我的习惯：替换最适合“业务方只看格式不看内容”的场景。比如测试环境，开发只要一个看起来像真的用户信息就行。

优点：速度快，输出格式不变，对下游消费友好。

缺点：替换字典的维护成本和抗重识别能力成反比。字典太小，容易被猜出来。

// 简单替换示例（姓名字典）  
const nameDict = ['张三','李四','王五'];  
function replaceName(realName) {  
  return nameDict[hash(realName) % nameDict.length];  
}

掩码（Masking）

掩码就是只保留部分可见，其他用星号或X盖掉。典型的就是手机号 138****1234，身份证 110101********1234。

我在项目中遇到过审计日志的脱敏需求——日志里频繁出现用户的支付账号。全部隐藏，维护人员没法排查；不隐藏，合规过不去。最后我们用了掩码：保留前后四位，中间打星。排查效率没降，合规也通过了。

踩坑回忆：我曾经在一个老系统里做了固定位数的掩码，结果新需求来了个更长的账号，掩码没对齐，后半截暴露了。后来我改成动态长度掩码，先算长度再决定显示位数。

优点：实现简单，肉眼可读部分保留，便于人工核对。 缺点：对机器学习或统计分析不友好，因为原始分布完全破坏了。

截断（Truncation）

直接砍掉一部分数据，只保留前N位或后N位。比如邮箱 alice@example.com 截成 alice@，或者IP地址 192.168.1.1 只保留 192.168。

截断是我见过的最“暴力”的方法。但它在一个场景下特别好用——当你只需要判断大范围归属，而不需要精确到个体的时候。比如我们之前做地理围栏分析，IP只要前两段就够了。

缺点也很明显：信息丢失严重，一旦截错位置，数据直接变垃圾。

哈希（Hashing）

哈希是一种不可逆的脱敏方式（指单向哈希，不算加盐逆向）。常见的有SHA-256、SHA-3。输入相同的值，输出永远固定。所以它常用于做“一致性脱敏”：同一个身份证号在不同系统间脱敏后还能关联。

这里有个大坑——彩虹表攻击。我先解释一下：如果不对原始数据加随机盐，攻击者能通过预计算常见值的哈希值来反向猜出原文。

  我的经验：做用户ID哈希关联时，一定要加一个应用级别的盐，且盐值不能泄露。我在对接多个第三方系统时，每个系统拿到的哈希值都不同，因为它们各自的盐不同——这样即使一个系统的盐泄露，其他系统的数据还是安全的。

// 加盐哈希示例（Node.js crypto）  
const crypto = require('crypto');  
function hashWithSalt(input, salt) {  
  return crypto.createHash('sha256').update(input + salt).digest('hex');  
}

加密（Encryption）

加密是可逆的脱敏，能用密钥还原原始数据。常见的有AES、SM4。它的优势是隐私保护和可用性之间的平衡——你既可以对普通用户脱敏，又可以在必要时授权解密。

我建议加密只用在“必须保留还原能力”的场景，比如病历数据、合同数据。但要注意：密钥管理是所有加密方案的阿喀琉斯之踵。密钥一旦泄露，脱敏形同虚设。

我曾经犯的错：把一个脱敏库的加密密钥硬编码在配置文件里，还忘了加访问控制。团队review时被发现，吓了一跳。之后我们统一上了KMS（密钥管理服务），密钥轮转也自动化了。

横向对比一览

技术	可逆性	主要风险	典型场景	速度
替换	可逆（字典碰撞风险）	字典泄露 / 重识别	测试数据构造	快
掩码	不可逆	信息保留过多 / 格式不一致	日志、客服页面	极快
截断	不可逆	信息过度丢失	统计、粗粒度分析	极快
哈希	不可逆（加盐后更难）	彩虹表 / 盐值泄露	跨系统关联、去重	快
加密	可逆（密钥控制）	密钥泄露 / 性能开销	需要还原的场景	中

选型小建议：先问自己三个问题——①是否需要还原？②下游消费方是谁（人还是机器）？③数据量有多大？回答完，表格里基本能帮你筛掉一半选项。

知识体系总览

下面这张图把这五种技术的关系和选择维度串了起来。你可以把它当作决策参考，少走弯路。

一句话总结：能不用可逆就不用可逆；需要关联数据时优先选加盐哈希；必须还原时再考虑加密，并且密钥拿命护着。

说到这，我猜你已经对上表上图中的技术有了直观认知。每种技术都有它的生态位，没有银弹。下次在接口协议适配里遇到脱敏需求，先按这个框架过一遍，大部分情况都能找到合适方案。