理解脱敏必要性
先判断测试场景是否真的需要看到真实身份信息。
小白
可以把真实顾客信息直接交给测试人员吗？
师傅
测试工作通常不需要看到真实身份信息。数据使用前需要进行 脱敏，降低敏感数据的可识别性。
【 第 7 步 】
数据测试室
师傅：“小白，测试数据不能直接拿真人信息上场，先得给它变个‘样式’。
手机号盖住几位，叫掩码；换成假号码，叫替换；砍掉一部分，叫截断；把36岁写成30—39岁，叫泛化；统计数字轻轻改一点，叫随机扰动。
先把真实数据复制一份，再统一处理其中的敏感信息，供测试、开发、分析或共享使用，叫静态脱敏；查询时根据权限临时遮住，叫动态脱敏。
把姓名换成用户编号，另外保留一张对应表，叫去标识化，拿到额外信息还有可能找回本人。
处理到谁也认不出来，而且无法还原，才叫匿名化。”
01 · 现场对话
用五种方法处理敏感字段
区分五种处理方法
用同一个手机号观察掩码、替换、截断、泛化和随机扰动。
师傅
师傅写下手机号：13812345678
师傅
显示成 138****5678，使用了什么方法？
小白
掩码。
师傅
改成虚构号码 13900000000 呢？
小白
替换。
师傅
只保留前七位 1381234 呢？
小白
截断。
师傅
把“36岁”改成“30至39岁”呢？
小白
泛化。
师傅
给统计金额加入少量随机变化，同时保持整体统计规律呢？
小白
随机扰动。
138****567813900000000138123430至39岁统计值＋轻微变化比较静态与动态脱敏
看数据是在交付前处理，还是在查询展示时实时处理。
旁白
测试工程师展示两套系统。
测试工程师
第一套系统提前生成脱敏后的订单副本。
师傅
这叫 静态脱敏。
测试工程师
第二套系统根据访问者身份，在查询时实时隐藏手机号。
师傅
这叫 动态脱敏。
静态脱敏
提前处理数据副本，再交付测试或分析使用。
动态脱敏
查询或展示时，根据访问者身份实时隐藏敏感内容。
区分去标识化与匿名化
关键看是否还能借助额外信息恢复到具体个人。
小白
把姓名“王明”改成“用户U001”属于什么？
师傅
属于 去标识化。获得编号对应表等额外信息后，仍可能恢复身份。
小白
匿名化呢？
师傅
匿名化 要求处理后无法识别特定个人，并且不能复原。
02 · 小白做现场笔记
重要概念及注释
| 概念 | 订单示例 | 记忆类比 |
|---|---|---|
| 数据脱敏 | 隐藏手机号和姓名 | 给敏感信息戴口罩 |
| 掩码 | 138****5678 | 用黑条遮住部分文字 |
| 替换 | 用虚构号码代替真号码 | 换上一个替代身份 |
| 截断 | 只保留部分号码 | 剪掉不需要的部分 |
| 泛化 | 36岁改为30至39岁 | 将门牌号改成城区 |
| 随机扰动 | 给统计值加入少量变化 | 在数据中加入轻微噪声 |
| 静态脱敏 | 提前生成安全副本 | 提前制作处理好的复印件 |
| 动态脱敏 | 查询时实时隐藏 | 根据来访者决定展示内容 |
| 去标识化 | 姓名改为用户编号 | 暂时摘掉姓名牌 |
| 匿名化 | 无法识别且不能复原 | 永久解除身份线索 |
易混辨析
先处理数据副本，再交付使用。
查询或展示时实时处理。
借助额外信息仍可能恢复身份。
无法识别特定个人，并且不能复原。
掩码是遮，替换是换，截断是删，泛化是降精度，扰动是加变化。
03 · 经验和难点
小结
根据使用场景选择掩码、替换、截断、泛化或随机扰动；提前处理属于静态脱敏，查询时处理属于动态脱敏；去标识化存在恢复身份的可能，匿名化要求无法识别且不能复原。这一步的经验是根据实际用途保留必要的数据价值，难点是准确判断处理后的数据能否通过编号表、其他数据源或字段组合重新识别个人。