数据脱敏概述
好，咱们直接进入正题。这一章要聊的是数据脱敏——说白了，就是把敏感数据「伪装」起来，让不该看到的人看不到，但该用的场合还能用。我做数据安全这些年，最怕听到的一句话就是：「这数据没那么敏感吧？」等你真出事就晚了。
脱敏是什么？为什么要脱敏？
数据脱敏，就是用一套规则把原始敏感信息做变形处理。比如身份证号、手机号、银行卡号这些，你不能让开发、测试、外包人员直接看到明文。
目的其实就两个：合规和防泄露。GDPR、等保2.0、PCI DSS都在逼你脱敏。我2019年帮一家金融客户做数据安全评估，发现他们的测试库直接挂着生产环境的真实手机号，当时后背就凉了——万一被拖库，光赔偿就够公司破产。
四种常用方法概览
目前业界主流就四种：掩码、加密、Tokenization、水印。每个都有自己的适用场景和坑。我一个个拆开讲。
| 方法 | 核心逻辑 | 示例 | 典型场景 |
|---|---|---|---|
| 掩码 | 替换部分字符为固定符号 | 手机号:138****1234 | 界面显示、日志脱敏 |
| 加密 | 用密钥对数据做可逆变换 | AES加密身份证 | 存储加密、传输加密 |
| Tokenization | 用令牌替代原始值，令牌无明文特征 | 卡号 → tok_ax3k9f | 支付系统、数据共享 |
| 水印 | 在数据中嵌入不可见标识 | 图片中加入数字水印 | 溯源、泄露追踪 |
掩码：最简单，但别滥用
你肯定见过——电话号码中间四位变成星号。实现起来一行正则就行。
import re
def mask_phone(phone):
return re.sub(r'(\d{3})\d{4}(\d{4})', r'\1****\2', phone)但注意了，掩码不是安全手段。它只是视觉隐藏。如果攻击者知道你手机号的前三位和后四位，中间四位可以暴力枚举。我曾经见过某电商平台用掩码代替，结果用户手机号被批量猜出来——1万条数据，枚举成本不到10块钱。
加密：安全，但管理成本高
加密是对称或非对称算法把明文变成密文。AES-256是目前的金标准。但加密有个老大难问题：密钥管理。一旦密钥泄露，所有数据等于白送。而且加密后的数据不可直接查询——你没法对密文做模糊搜索或排序。
我在做医疗数据共享时踩过这个坑。医生要查患者姓名，但数据库里存的都是AES密文。最后只能全表解密再查，性能直接崩了。你想想看，这能忍吗？
Tokenization：当前最推荐的方案
Tokenization是用一个无意义的令牌（）去替换原始值。令牌和原值之间通过一个安全的映射表来关联。这个映射表单独存放在 Vault里。你拿到的就是一堆乱码，根本猜不出原始数据。
举个例子：银行卡号 6222 0200 1234 5678 被替换成 tok_a1b2c3d4。系统里跑的、存的都是，只有到真正需要转账时才去Vault里换回真卡号。
// 伪代码示例
function tokenize(creditCardNumber):
= generateRandomToken()
vault.store(, creditCardNumber)
return Tokenization的好处是：本身不含任何敏感信息，而且可以保留格式（Format-Preserving Tokenization）。比如手机号变手机号格式的，这样老系统不用改字段长度。
水印：后知后觉但能追责
水印不是用来防泄露的，而是用来溯源的。你在数据中悄悄嵌入一些特征（比如修改几个不重要的字段值、在图片里叠加人眼不可见的信号），一旦数据泄露，你通过水印特征就能识别出这是从哪个渠道流出去的。
我2018年负责一个大数据交易平台。合作方把数据卖给了第三方，结果第三方转头就裸传到了网上。我们通过嵌入的水印字段（比如故意把某个城市的用户名改成略微不同的格式）定位到是某家数据商的销售团队泄露的——直接起诉，证据确凿。
四种方法该怎么选？
没有银弹。我给你的建议是这样的：
- 界面展示、日志打印：用掩码，速度快，够用就行。
- 存储敏感数据（数据库、文件）：用Tokenization，兼顾安全和查询效率。
- 跨网络传输：用加密（TLS / 字段级加密）。
- 数据共享给第三方：Tokenization + 水印，既能防泄露又能溯源。
我在实际项目里，超过80%的场景都是Tokenization打底，水印做辅助。尤其是金融和医疗行业，这俩是黄金搭档。
好了，这一章就到这儿。把四种方法记住，后面讲Tokenization和水印联动的时候，你就会知道为什么它们能「1+1>2」了。