敏感配置展示为什么要脱敏？

简化版

控制台、diff、搜索、日志和审计常被更多人员及系统访问，明文展示会扩大秘密暴露面。脱敏必须在服务端完成，并与最小权限、强认证和审计配合；前端星号不是安全边界。界面通常只展示秘密类型、版本、更新时间和“是否已设置”，修改采用只写不回显。

敏感字段由 schema 和数据分类明确标记，不能只靠字段名包含 password 猜测。普通查看接口不返回明文，编辑页留空表示不修改，提交新值后也不回显。 diff 展示“秘密版本从 7 变 8”，审计记录操作者和版本，不记录值。

极少数确需查看的场景通过单独接口、MFA、短时授权、工单理由和实时告警处理。前后缀遮罩可能泄露短 Token 或固定格式，因此按秘密类型评估。脱敏只减少展示泄露，不能替代加密、轮换和撤销。

控制台截图、浏览器插件、录屏、客服系统和日志采集都会复制页面内容。能管理普通配置的人数通常远多于真正需要读取秘密的人数。默认不回显可以显著缩小泄露半径。

最安全的脱敏不是把明文变成星号，而是让无权限链路从未收到明文。

schema 应声明字段类型与敏感等级，例如 secret、personal-data、internal。字段名规则只能作为辅助扫描，因为 token、credential 等命名很多，普通字段也可能误命中。动态键值需要创建时显式分类，并由策略校验高风险命名。

权限判断和字段裁剪在 API 服务端完成。浏览器网络面板中不应出现明文，HTML 源码和预加载状态也不能包含。

{
  "name": "payment.apiToken",
  "isSet": true,
  "secretVersion": 8,
  "updatedAt": "2026-09-30T10:00:00Z"
}

把真实值返回后用 CSS 隐藏或 JavaScript 替换，没有任何保密效果。

编辑页面的秘密输入框默认为空。空值表示保持原值，显式“清除秘密”使用独立确认动作，避免把空输入误认为删除。提交新值后返回版本变化，不返回刚提交的明文。浏览器应禁用不合适的缓存，并避免秘密进入 URL、前端日志和埋点。

diff 表示 secretVersion 7→8、更新时间和轮换原因。不能展示真实旧值与新值，也不应保存固定前后四位作为通用策略。审计记录谁替换、审批者、目标环境、结果和关联工单。审批人通常只需确认秘密类型与轮换计划，不需要读到明文。

理想设计通过 secretRef 和专用工具避免人工读取。确有排障或迁移需求时，使用独立端点、MFA、最小角色、短时授权和一次性理由。查看行为实时通知安全团队，响应加水印且禁止批量导出。授权过期后立即失效，并保留不可篡改审计。

显示前后四位对长随机 Token 可能便于识别，但对 6 位 PIN 会泄露大部分内容。固定格式证件号也可能与其他数据拼接还原。因此默认只显示“已设置”和版本；确需识别时按类型设计最小片段。脱敏不影响运行时应用读取权限，二者是不同授权动作。