隐私与升级路径
网络日志中主机、IP与会话字段的脱敏
区分排障所需主机和必须删除的会话资料。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
网络日志脱敏要在保留诊断阶段证据与删除会话资料之间建立明确字段表。通常可保留规范主机、请求方法、协议阶段、状态码、时间、资源类别和错误文字；路径只保留复现所需静态形态。Authorization、Cookie、令牌、账号、查询参数、完整IP、设备名称、序列号和个人文件路径应删除或一致替换。无法判断敏感性的字段标UNKNOWN并默认移除。
操作时先把原始日志留在设备所有者控制的受限位置，在受控副本中脱敏，生成redaction_note，再由第二轮检查确认请求顺序仍足以判断DNS、连接、TLS或响应。原始敏感文件不进入文章、普通工单或聊天。公开说明只引用最小片段，不提供可访问地址或会话内容。脱敏是数据最小化，不是修改错误结果。生产流程应把采集、脱敏、复核和发布分成不同角色，普通编辑只能看到已通过副本。替换器先解析结构再处理字段，不能用一条正则假定所有头与正文格式；解析失败的块默认隔离。稳定占位符由任务级随机盐产生，任务结束销毁映射，避免跨案件关联。脱敏后的请求顺序、状态码和相对耗时需要与原件在受控环境比对，差异超过预期就阻止发布。图像、压缩包元数据、文件名和导出软件属性同样纳入扫描。保留策略执行前生成依赖清单，当前纠错仍使用的最小证据可以匿名化，其他临时副本按期清理。任何人员若试图用敏感字段提升诊断便利性，都需说明必要性并接受隐私复核。
先建立字段保留与删除矩阵
矩阵每行写field_path、purpose、sensitivity、action和replacement_rule。方法、阶段、状态与相对时间通常可保留；认证头、表单正文、查询值、客户端标识和完整网络地址删除。主机若为排障必要，可规范化保留，但不附账户路径。
不同日志格式会把敏感值藏在header、payload、stack trace或文件名中，不能只删显眼Cookie。未知字段默认drop，确需保留时先说明它支持哪个诊断问题。字段矩阵版本随脱敏副本保存。
- 每个保留字段都有明确诊断用途
- 认证载荷与查询值采用默认删除
- 未知日志字段不会直接进入共享副本
使用一致替换保持请求关系
同一主机、资源或匿名设备需要跨行比较时，使用稳定占位符如主机甲、资源乙，而不是随机删成空白。占位映射只在当前任务受控范围内存在，公开副本不能反推出原值。不同原值不能误替为同一标签。
IP可按类别或一致哈希替换，但需评估重识别风险；通常保留私有、公共或UNKNOWN类别已足够。时间可保留到诊断所需精度，个人行为无需秒级时可做区间化。替换规则应可重复执行。
- 一致替换保持必要的跨行关联
- 标签映射不进入公开共享材料
- 时间和地址只保留最低必要精度
清理请求头正文与跳转参数
请求头中的认证、Cookie、来源路径和追踪标识是高风险区；响应头也可能含会话、内部主机与个人缓存键。正文可能包含账号、表单和错误堆栈。脱敏器逐字段处理，不用简单截图遮住一部分。
跳转地址常把令牌或账户放在查询与片段中，公开记录只保留静态路径形态和跳转次数。若完整跳转链对阶段判断不必要，直接移除。无法可靠解析嵌套内容时不共享该行，改写成人工摘要。
- 请求与响应头均执行敏感扫描
- 跳转查询和片段从记录中剥离
- 不可安全解析的载荷不进入附件
同步处理截图控制台与文件名
截图可能暴露浏览器个人资料、通知、书签、扩展账户、完整地址和桌面文件。控制台错误可能嵌入页面数据与本地路径。裁剪后仍需文本识别或人工放大检查，不因视觉上看不清就假定安全。
附件文件名、目录和压缩包注释也可能包含姓名或设备名，应改为随机任务标识。图片遮罩需永久写入副本而非可移除图层。无法确认遮罩是否扁平化时只提交文字转录。
- 截图检查覆盖通知书签与个人资料
- 控制台文本和本地路径同步脱敏
- 遮罩写入不可逆的共享副本
验证脱敏后仍保留诊断顺序
复核者使用脱敏副本回答请求先后、最后成功层、首次错误、状态变化和耗时区间。若无法回答，回到字段矩阵评估能否安全增加类别证据；不能因此恢复会话或个人内容。诊断价值不足也可以选择不共享。
同时进行重识别测试：组合主机、时间、设备类别和错误文字，判断是否能指向个人或组织。风险过高时进一步泛化。通过诊断可读性和隐私两道门后，副本才进入交接。测试者不得借助受限映射，模拟的是普通接收者能力。若泛化后无法判断协议顺序，可以只提交人工摘要并标证据有限。每次副本生成保存规则版本和输入指纹，保证后来能说明哪些字段被变换。
- 脱敏副本仍可重建必要请求次序
- 组合字段接受独立重识别评估
- 隐私风险高于诊断价值时不共享
管理原件访问保留与删除
原始日志只由设备所有者或明确授权人员在受控位置查看，记录访问范围和保留期限。普通编辑只使用脱敏副本。任务完成后按既定策略删除临时原件与占位映射，不把排障资料长期积累成行为档案。
法律、合规或安全事件需要延长保留时，由对应角色决定并记录理由；内容作者不能自行扩大。删除原件后，任何无法再复核的结论应更新evidence_state，而不是假装证据仍可访问。保留清单按原件、脱敏副本、占位映射、截图和报告分别设期限，删除任务逐项核账。依赖图显示哪些纠错仍引用某份材料，必要时先匿名化或降低结论。访问审计检查普通编辑从未获得原件，临时授权到期后自动撤回。抽样再从共享副本尝试识别个人，若组合风险仍高就继续泛化。
- 原件访问遵循最小授权和明确期限
- 临时映射随任务结束一并清理
- 证据删除会触发可复核状态更新
用泄露样例回归脱敏规则
合成测试注入认证头、长令牌、邮箱、完整IP、设备名、查询会话、个人路径和截图通知，确认共享副本全部拦截。再验证方法、阶段、状态码和相对顺序仍可读。测试数据与现实账户隔离。
规则更新后重跑历史模板，但不擅自重处理受限原件。质量报告列命中类别、人工复核结果和仍为UNKNOWN的字段，不展示敏感样本。通过只说明脱敏门槛满足，不代表日志中的访问原因已确定。泄露回归加入嵌套请求正文、重定向查询、压缩包注释、图像元数据、控制台对象和本地文件路径，确认结构解析失败时默认隔离。可用性复核则从脱敏副本重建请求顺序与首次失败层，确保隐私处理没有篡改诊断事实。原件删除或权限收紧后，证据状态同步降级，任何依赖它的结论都显示复核限制。
- 回归覆盖文本结构和图像三类泄露
- 诊断字段在清理后保持可解释
- 质量报告不复制被拦截的敏感值并确认任务级占位映射按期销毁
