· 全部指南
为什么 PII 处理至关重要
个人身份信息（PII）如邮箱、手机号和身份证号，一旦泄露可能引发法律风险。欧盟 GDPR 和国内个人信息保护法都要求对这类数据实施最小化收集和严格保护。开发者常忽视日志文件、AI prompt 和客服工单中的 PII 残留，这些恰恰是数据泄露的高发地。
传统方案依赖第三方云服务进行敏感信息检测，但传输原始数据本身就有风险。Towalles 的 pii-scanner 等工具采用浏览器本地处理，数据永不离开你的设备，从源头杜绝隐私外泄。这种本地优先（local-first）策略正成为开发生态的新标准。
常见 PII 识别模式
中国手机号（11位数字以13/15/18开头）、身份证号（18位含校验码）和邮箱（@前后格式校验）有明确的正则匹配规则。但要注意变体形式：手机号可能包含+86前缀或连字符（138-1234-5678），email-normalizer 工具能统一处理大小写和子邮箱（如user+tag@domain.com）。
身份证号校验需要验证最后一位校验码，而护照号码则因国家不同格式各异。建议结合 prompt-redactor 的上下文分析能力，避免误判类似身份证号的订单编号等假阳性情况。对于模糊匹配场景，可设置置信度阈值平衡召回率和准确率。
脱敏技术选型
完全删除是最安全的做法，但可能破坏数据关联性。部分脱敏（如邮箱显示us**@ex***.com）在安全和可用性间取得平衡。对需要保留格式的测试数据，可用虚拟数据替换（如身份证号→11010519900307283X）。
日志脱敏要注意多行上下文，比如错误堆栈中的参数值。Towalles 工具支持批量处理 JSON/YAML 文件，自动识别嵌套结构中的敏感字段。对于生产环境，建议在日志采集阶段（如Filebeat）就植入脱敏逻辑，而非事后处理。
实施最佳实践
建立敏感数据清单，明确各类型 PII 的处理策略。开发环境使用脱敏后的假数据，生产环境日志配置自动 redact 规则。定期用 pii-scanner 全量扫描历史数据，Git 预提交钩子可防止敏感信息误提交。
将脱敏流程嵌入 CI/CD 流水线，结合正则检查与机器学习模型（如识别中文姓名）。记住：浏览器本地处理的 Towalles 工具链既满足合规要求，又避免数据外泄风险——你的敏感数据永远不需要上传到任何服务器。
纵深防御
正则脱敏是第一遍，不是保证。高风险导出应组合模式库、白名单与人工复核。自动替换后务必二次扫描。
上下文误伤
把 commit hash 里像电话的片段替换掉，既浪费时间也可能破坏标识符。把模式限制在你理解的字段上。
工作流
- 文档分级。
- 本地自动脱敏。
- 抽查周围句子。
- 再扫描，再分享。
事故
若原始 PII 已外传，按隐私事件处理：定范围、按政策通知，并轮换已暴露凭证。
PII 脱敏运维
动生产前先写操作程序：输入、期望输出、负责人与回滚。Towalles 上的工具便于本地检查样例，不能替代变更控制。
前置条件
- 有代表失败案例的脱敏 fixture。
- 清楚谁是真相来源（应用、网关、CMS 或网络设备）。
- 能在非生产环境或用合成数据复现问题。
步骤
- 用 fixture 复现，记录精确命令或 UI 路径。
- 按需用格式化、哈希或解析工具与已知正确样例对照。
- 做最小修复；同一变更里避免顺手重构。
- 补充回归测试或清单项，避免下一任 on-call 重复踩坑。
- 更新 runbook：症状 → 检查 → 修复。
善后
观察 24–72 小时错误率与支持工单。若做过一次性数据修复，安排后续防止复发。工单里保留截图与哈希，不要留真实密钥。
反模式
- 把生产密钥贴到公开页面「只是看一下」。
- 上线却不写回滚说明。
- 把本地绿色演示当成多区域生产的证明。