CSV 数据脱敏怎么做：遮盖、假名化、哈希与重新识别风险

把一份客户或订单 CSV 发给测试团队时，删掉姓名和手机号，看起来已经“匿名”。但如果表里还保留精确地址、下单时间、门店、罕见商品和会员等级，熟悉业务的人仍可能猜出某一行是谁。

数据脱敏最容易出错的地方，不是星号数量，而是把局部遮盖误认为整份数据已经无法识别。

CSV 数据脱敏 / 匿名化工具在浏览器本地读取 CSV 或 TSV，可以按列删除、固定遮盖、部分保留、生成稳定假名或带盐 SHA-256。它适合制作测试和协作副本；是否达到法律或组织定义的匿名化标准，仍要结合数据用途和全部字段评估。

第一步不是打码，而是删除不需要的列

如果接收方只需要统计订单金额，就没有理由同时发送姓名、电话、详细地址和备注。最可靠的数据最小化，是从副本里彻底删除任务不需要的字段。

可以先把列分成三组：

1. 完成任务必需，例如商品类别、金额区间；
2. 可能需要，但可以降低精度，例如日期只保留月份、地址只保留省份；
3. 完全不需要，应删除，例如密码、令牌、精确证件号和内部备注。

减少字段后，再决定剩余敏感列采用哪种转换。这样比对每列都加星号更容易解释，也更符合最小权限原则。

固定遮盖适合不需要区分个体的字段

固定遮盖会把所有非空值改成相同文本：

上海市静安区示例路 18 号  →  [已隐藏]
北京市朝阳区测试街 6 号  →  [已隐藏]

优点是简单，不保留原值差异；缺点是不能再按地址关联或去重。适合结构测试、界面截图和只需要确认“该字段有值”的场景。

部分保留则会留下首尾字符或手机号后四位。它方便人工核对，但泄露的信息更多：后四位、邮箱域名、证件号前缀与其他字段组合后可能显著缩小候选人范围。只有明确需要时才保留。

稳定假名让相同值保持关联

测试分析经常需要知道多行是否属于同一用户，又不希望显示真实姓名。稳定假名可以把同一原值映射为同一替代值：

林海  →  匿名_18f6a0c2b1
周雨  →  匿名_934c07af52
林海  →  匿名_18f6a0c2b1

这样可以统计复购和分组，却仍属于假名化而不是绝对匿名。只要有人掌握映射规则、盐值，或能通过其他字段推断身份，就可能重新识别。

稳定假名应按列计算。姓名里的“张三”和城市字段里的“张三”不应因为文本相同就得到同一个标识，否则会产生没有业务意义的跨列关联。

为什么直接 SHA-256 不够

哈希常被误解成不可逆加密。SHA-256 本身不能从摘要直接算回原文，但攻击者可以把常见手机号、邮箱或短 ID 全部枚举一遍，再比较结果。

例如中国大陆手机号空间远小于随机 256 位字符串，常见邮箱和工号也有明显格式。直接计算：

SHA256("13800138000")

很容易进入字典攻击范围。

加入随机盐后，实际计算变成：

SHA256(salt + column + original_value)

攻击者不知道盐时，不能直接复用公开字典。盐仍不是万能密码：如果它和数据一起发送，或候选空间非常小，风险会重新上升。需要跨批次保持同一映射时，应在受控位置单独保存盐值，并限制谁能接触。

邮箱、电话和 IP 应保留多少

邮箱遮盖常保留域名，例如 l***@example.com。这有助于统计企业域名，但也会泄露组织信息。只需要测试格式时，改成稳定假邮箱或固定文本更合适。

电话保留后四位方便客服核对，但在小型客户群里可能足以识别。IP 保留前两段可以做粗略网段分析，却不能当作严格地理匿名化；IPv6、代理、企业出口和共享地址让含义更复杂。

不要让工具默认值替你决定业务需求。先问接收方真正要完成什么，再选择最少保留的信息。

自动识别敏感列为什么只能当建议

字段名为 email、手机号、client_ip 时比较好判断。现实数据还会使用 c1、owner、member_ref、中文缩写和内部代号；订单号也可能看起来像电话，用户名可能只有数字。

自动建议可以结合字段名和少量样本，减少逐列操作，但无法理解业务语义。生成结果前至少检查：

• 每个主键和外键是否需要保留关联；
• 金额、时间、位置是否过于精确；
• 自由文本备注是否含姓名、电话和地址；
• 空值、重复值和同一用户的多行映射是否一致；
• 列删除后下游脚本是否仍按原列号读取。

尤其要注意自由文本。地址、客服备注和工单内容可能把多种个人信息写在同一个单元格，按列规则无法自动拆分干净。

CSV 还要防公式注入

脱敏副本可能要用 Excel 打开。如果单元格以 =、+、-、@ 开头，部分表格软件会把它当作公式。来源不明的数据可能借此构造链接、命令或外部请求。

导出时可以在这些值前加单引号，强制按文本处理。这样会改变原始字符，因此导入严格系统前需要用小样本验证；但供人工查看和协作的 CSV，默认开启公式保护通常更稳妥。

下载后如何验收

不要只看页面前十行。先保存源文件只读副本，再下载脱敏结果和规则说明。随机抽查不同类型的记录，确认：

1. 应删除的列确实不存在；
2. 同一原值在稳定假名模式下保持一致；
3. 不同列没有意外共用同一映射；
4. 空值没有被填成虚假数据；
5. 中文、引号、逗号和单元格内换行没有破坏 CSV；
6. 下游软件能按预期识别编码和分隔符；
7. 组合字段不能轻易定位到具体个人。

高风险数据还应由另一位了解隐私与业务的人复核。需要正式合规结论时，应依照组织政策和适用法律，不要把在线工具的处理结果当作自动认证。

总结

可靠的 CSV 脱敏从数据最小化开始：先删掉不需要的列，再为剩余字段选择固定遮盖、部分保留、稳定假名或带盐哈希。

每种方式都保留了不同程度的可用性，也留下不同的重新识别风险。把盐值、自由文本、组合字段和公式注入一起纳入检查，生成的副本才真正适合测试、协作和分享。