可观测数据中的敏感信息如何脱敏？
简化版
敏感信息治理首先是少采集，其次才是脱敏。应在应用埋点和 Collector 两道防线识别凭证、身份、支付与业务秘密，按删除、掩码、令牌化或加密处理，并限制访问、保留期和导出审计。
详细版
建立字段分类与允许清单，禁止记录 token、密码和完整 payload；结构化日志便于按字段处理，Trace baggage 与指标标签同样要审查。稳定关联需要 keyed HMAC 或受控 tokenization，普通哈希无法保护低熵手机号。
脱敏规则版本化并用合成敏感样本测试，监控扫描命中和绕过；原始数据如确需保留，进入独立加密审计库而非普通日志平台。删除请求应覆盖热存、冷存、备份和导出副本。
完整版教学
一、先做数据最小化
排障只需要 user_internal_id 时，就不应同时记录姓名、手机号和地址。未采集的数据无需脱敏，也不会在日志转储、工单截图和测试环境中二次扩散。
心法：脱敏是补救，最小化采集才是第一道防线。
二、敏感数据在哪里出现
| 位置 | 常见泄漏 | 防线 |
|---|---|---|
| 日志正文 | payload、异常对象 | 字段允许清单 |
| Trace 属性 | URL、SQL、baggage | 语义规则/截断 |
| 指标标签 | userId、邮箱 | 禁止高基数 PII |
| Profiling | 内存字符串 | 权限与短保留 |
错误框架自动打印请求对象是常见旁路，不能只检查手写日志。
三、四种处理方式
删除适合无诊断价值字段；掩码适合展示末四位；令牌化适合受控反查；加密适合依法需要保存原文。选择取决于是否需要关联和恢复，而非统一替换星号。
phone 13812345678 -> ******5678
stable correlation -> HMAC(secret, normalized_phone)四、为什么普通哈希不安全
手机号、身份证等取值空间有限，攻击者可预计算字典反查。带密钥 HMAC 阻止无密钥枚举，还应轮换密钥并区分用途；随机 salt 则会失去跨事件稳定关联。
即使用 HMAC，结果仍可能属于受监管标识，应限制查询权限。
五、分层拦截
应用端最了解字段语义，应默认不记录；Collector 提供统一兜底，按 key、正则和 Schema 清洗；后端再做 DLP 扫描与访问控制。正则不能识别所有语境，只能作为补充。
检测到疑似密钥时应隔离数据、轮换凭证和调查访问，而不是只删除一条日志。
六、生命周期与权限
按角色限制查询、批量导出和解密，所有敏感访问留审计。保留期按用途最短化，冷存与备份同样受删除和密钥销毁策略控制。
非生产环境使用合成数据；把生产日志复制给开发者会绕过生产权限边界。
多租户查询必须在服务端强制租户过滤，不能只靠仪表盘默认条件隐藏其他租户数据。
密钥轮换时应保留受控的关联过渡方案；直接更换 HMAC 密钥会让新旧标识无法连接。
七、常见误区与追问
- 误区：HTTPS 能防止日志泄漏。 它只保护传输，不限制存储与查询。
- 误区：普通 SHA-256 足以匿名手机号。 低熵数据可被字典反查。
- 误区：只脱敏日志即可。 Trace、指标、Profiling 和导出同样可能含 PII。
- 误区：管理员可无限查看原文。 仍需最小权限、审批和审计。
- 追问：如何保持跨日志关联？ 规范化后用按用途密钥的 HMAC 或 token。
- 追问：误采密钥怎么办？ 隔离、删除、轮换并审计是否被访问。
- 追问：怎样测试规则？ 合成 canary PII、单测和周期 DLP 扫描。
八、加强记忆
敏感遥测治理按“少采集—字段分类—应用端阻断—Collector 兜底—受控存储—到期删除”执行。关联用 keyed HMAC/令牌化而非低熵普通哈希，访问和导出全程审计；发生泄漏还要轮换秘密与调查影响，不能只做文本替换。