4、脱敏字段分类体系：设计一套完整的敏感字段分类法

在Edge AI端侧日志脱敏工程中，分类体系是脱敏策略的“坐标系”。没有分类，脱敏规则就是零散的补丁；有了分类，脱敏规则才能形成可维护、可审计、可扩展的体系。本章将建立一套面向端侧日志场景的四域分类法——身份信息、认证信息、业务数据、系统元数据，并给出每个域的判断标准、脱敏优先级、典型字段清单及常见误判案例。

4.1 身份信息域：从“可识别”到“可关联”的判定逻辑

核心原理

身份信息域（PII域）指能够直接或间接识别到自然人的数据。在端侧日志中，这类字段往往以设备标识、账号信息、个人资料等形式出现。判定标准不是“字段名是否像敏感字段”，而是“该字段是否具备唯一指向性”。例如，设备ID本身不是自然人信息，但当它与账号绑定后，就具备了间接识别能力。

判断方法

• 直接识别符：身份证号、手机号、邮箱、姓名+生日组合，单独出现即可定位到个人。
• 间接识别符：设备IMEI、MAC地址、广告ID、精确地理位置，需与其他字段关联后才能识别。
• 准标识符：性别+年龄+居住地+职业，单条不敏感，多条组合可缩小识别范围至个位数。

4.2 认证信息域：零容忍的绝对敏感区

核心原理

认证信息域包含一切可用于身份验证或权限授予的凭证。这类字段一旦泄露，攻击者可直接冒充用户或获取系统访问权。在端侧日志中，认证信息往往以请求头、配置项、回调参数等形式被意外记录。该域遵循“默认禁止记录”原则，而非“记录后脱敏”。

判断方法

1. 检查字段是否包含“secret, token, key, password, credential, auth, session”等关键词。
2. 检查值格式：JWT（eyJhbGci...）、32位十六进制、Base64编码的长字符串、以“sk-”开头的密钥。
3. 检查上下文：该字段是否被用于API鉴权、数据库连接、设备解锁、TLS握手。

// 典型误记录场景：HTTP请求日志
{
  "url": "/api/v1/user/profile",
  "headers": {
    "Authorization": "Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",  // 必须脱敏
    "X-API-Key": "sk_live_4eC39HqLyjWDarjtT1zdp7dc"               // 必须脱敏
  },
  "body": {"password": "P@ssw0rd123"}  // 必须脱敏
}

4.3 业务数据域：场景驱动的动态分类

核心原理

业务数据域指用户在使用产品过程中产生的内容性数据。这类字段的敏感度高度依赖业务场景：同一字段在不同产品中敏感度可能完全不同。例如“心率值”在运动App中属于普通业务数据，在医疗健康App中则属于高敏健康数据。因此，业务数据域需要建立场景-字段-敏感度映射表。

判断方法

• 内容分析：日志中是否包含用户输入的文本、语音转写结果、图片描述。
• 交易关联：是否涉及金额、订单号、支付渠道、优惠券码。
• 行为轨迹：是否记录用户点击流、浏览历史、停留时长、搜索关键词。
• 健康与生物特征：心率、血压、步数、睡眠、指纹特征值、人脸特征向量。

4.4 系统元数据域：低敏感但高风险的“隐形字段”

核心原理

系统元数据指描述设备状态、网络环境、运行时信息的字段。单独看几乎不涉及隐私，但组合后可实现设备指纹追踪或漏洞定位。例如：内核版本+已安装应用列表+系统语言+时区，可以唯一标识一台设备。该域的核心矛盾是“调试价值”与“追踪风险”的平衡。

判断方法

• 设备标识类：Android ID、IDFV、设备序列号（SN）。
• 网络标识类：IP地址、SSID、BSSID、蓝牙MAC。
• 运行时信息：系统版本、内核版本、Root状态、SELinux状态、可用内存。
• 传感器数据：加速度计原始值、陀螺仪数据、气压计读数（可用于步态识别）。

4.5 分类法落地：从字段清单到自动化标记

操作流程

1. 字段盘点：导出端侧所有日志字段，建立全量字段字典。
2. 四域归类：按上述判定标准，将每个字段划入身份/认证/业务/元数据域。
3. 敏感度定级：L1（认证信息）、L2（直接PII）、L3（间接PII+高敏业务）、L4（低敏业务+元数据）。
4. 脱敏策略映射：L1强制丢弃，L2保留部分+掩码，L3泛化/加噪，L4可选截断。
5. 自动化标记：在日志Schema中增加“sensitivity”字段，由采集SDK自动打标。

// 日志Schema中的敏感度标记示例
{
  "timestamp": 1699123456789,
  "level": "DEBUG",
  "module": "network",
  "fields": {
    "device_id": {"value": "a3f9...", "sensitivity": "L2", "action": "hash"},
    "wifi_ssid": {"value": "HomeWiFi", "sensitivity": "L4", "action": "truncate"},
    "auth_token": {"value": "eyJhbGci...", "sensitivity": "L1", "action": "drop"}
  }
}

案例拆解：智能音箱日志脱敏分类实战

背景：某智能音箱厂商在端侧日志中发现用户语音交互记录被明文上传，引发隐私合规风险。日志包含：设备序列号、WiFi SSID、用户声纹特征值、唤醒词命中文本、音乐播放记录、系统固件版本。

分析过程：

• 设备序列号 → 身份信息域（L2），可关联购买记录和家庭地址。
• WiFi SSID → 系统元数据域（L4），但SSID常包含用户姓名或门牌号，需升级为L3。
• 声纹特征值 → 业务数据域（L3），属于生物特征，应视为高敏。
• 唤醒词命中文本 → 业务数据域（L3），包含用户语音内容。
• 音乐播放记录 → 业务数据域（L4），可推断用户偏好。
• 固件版本 → 系统元数据域（L4），低风险。

脱敏方案：声纹特征值直接丢弃；SSID截断前3个字符；唤醒词文本仅保留“已唤醒”布尔值；音乐播放记录泛化为“流行/古典/摇滚”类别；序列号哈希处理；固件版本保留。

结果：日志体积减少22%，合规审计通过，且调试语音唤醒成功率所需的关键信息（是否唤醒、唤醒耗时）未受影响。

复盘：初始方案曾将SSID归为L4，但安全团队发现部分用户SSID包含“ZhangSan_Home”格式，存在PII泄露风险。最终将SSID调整为“场景敏感字段”，需结合上下文动态定级。

4.6 常见误区与总结复盘