直接与间接标识符
直接标识符指向具体个人：姓名、邮箱、电话、政府证件号、护照号。准标识符缩小人群范围：出生日期、邮编、性别、职位、设备 id。多个准标识符组合后，即使删除姓名也可能重新识别个人。1997 年 Latanya Sweeney 的研究显示，邮编、性别和出生日期可唯一识别约 87% 的美国人口。
如何处理
先分类字段，再最小化：只采集功能所需数据，限制访问，传输和静态加密，并让 PII 远离日志、分析和测试环境。假名化用令牌替换标识符，能降低暴露，但只要映射或底层数据可重新关联，就不是匿名化。
// 日志脱敏：保留域名，去掉本地部分
const maskEmail = (email: string) => email.replace(/^[^@]+/, '***');
maskEmail('[email protected]'); // '***@example.com'对电话号码等低熵标识符做无密钥哈希，可被枚举还原；应使用带托管密钥的键控哈希。
使用场景与取舍
数据进入任何新系统时都应用分类：生产表、日志、数仓、备份、工单和第三方集成。分析和调试流程尤其重要，因为生产数据副本常在此悄悄累积。保留越久、副本越多，泄露和合规风险越大；删除和访问控制必须覆盖派生副本。