缺陷附件脱敏检查表：脱敏对象、判断规则与复核记录

缺陷附件脱敏检查表要解决的是“附件能不能随缺陷单继续流转”这一判断问题。它由三部分组成：脱敏对象清单，明确截图、日志、录屏、导出文件等逐项检查；判断规则，按字段类型决定保留、遮蔽、替换或裁剪；复核记录，登记处理人、复核人、时间与结论。检查表在附件上传前、缺陷流转前、对外共享前三个节点使用，记录随缺陷单留存。在ONES中，缺陷可提交至对应项目或迭代并跟踪修复，检查表与复核记录可借助工作项和文档承载。

要点总览（TL;DR）

• 检查表按附件类型列出脱敏对象：截图、日志与报文、导出数据文件、抓包与鉴权字段、文档与录屏，逐附件勾选而非整单打勾。
• 判断规则把信息分为直接标识、准标识、业务敏感三类，对应保留、遮蔽、替换、裁剪四种处理方式；密钥与凭证一律替换。
• 判定顺序为共享范围、可重识别风险、数据主体授权，任一项高风险即按更严格方式处理。
• 复核记录分处理信息与复核信息两组，处理人与复核人分设，记录随缺陷单归档并可独立导出。
• 出现未处理的直接标识、密钥泄露、复核缺失或替换后无法复现等阻断项时，退回处理并重新复核，阻断项清零才算完成。

谁在什么时点使用这张检查表

这张检查表按“谁经手、谁负责”分配检查任务，避免所有检查压到一个人身上，也避免提交人自检后无人复核。使用前先确认角色和节点，再进入具体检查项。

角色	执行时点	负责的检查部分	产出
缺陷提交人	附件上传前	逐张查看附件、处理敏感字段、填写处理记录	自检完成的附件与处理说明
缺陷处理人	缺陷流转前	确认替换或裁剪后信息仍能支撑复现，补充必要上下文	可复现的缺陷描述与附件
测试负责人	缺陷流转前	核对附件是否齐全、处理方式与规则是否一致	复核结论
安全或合规复核人	对外共享或跨团队移交前	终检二次识别风险、共享范围与授权匹配	终检记录与放行结论

覆盖范围是缺陷单内的全部附件类型，包括截图、日志、录屏、导出数据文件、抓包文件、文档与表格。缺陷单正文中的文字描述若包含直接标识信息，也按同一规则处理。服务事件受理流程与缺陷严重程度分级不在本表范围内，分别由对应流程处理。

三个节点对应三种检查深度：上传前自检关注“有没有处理”，流转前复核关注“处理得对不对、够不够复现”，对外共享前终检关注“换一个环境是否还能识别出个人或业务信息”。节点之间不跳步，前一节点未通过不进入下一节点。

脱敏对象清单：哪些附件必须逐项检查

脱敏对象按附件类型分组，每组给出典型示例和检查颗粒度。勾选时以“单个附件”为单位，一个缺陷单有多个附件就逐项勾选，不按整单打一个勾。

附件类型	典型示例	检查颗粒度
截图类	界面截图、报错弹窗、监控面板、移动端录屏帧	逐张查看，重点看页面顶部账号信息、列表中的姓名与手机号、弹窗中的请求参数
文本与日志类	应用日志、系统日志、接口返回报文、堆栈信息	按行或按字段检查，重点看请求头、用户标识、异常堆栈中的变量值
数据文件类	导出的CSV/Excel、数据库查询结果、测试数据集	逐列检查表头与样例数据，确认是否含姓名、证件号、联系方式、金额等列
网络与抓包类	抓包文件、请求响应头、Cookie与Token	检查请求头中的鉴权字段、Cookie值、URL查询参数中的标识信息
文档与媒体类	需求文档、会议录屏、语音记录、演示视频	逐页或逐段查看，重点看文档中的客户名称、合同条款、录屏中出现的账号与通知弹窗

容易漏检的位置集中在三类：截图边缘的系统通知和账号头像、日志中夹带的完整请求体、导出文件中被隐藏或冻结的列。检查时把这三处列为固定查看点，可以减少遗漏。

录屏和语音记录按时间轴抽检关键片段，包括登录过程、列表页滚动、消息弹窗出现的时间点。抽检片段需在记录中写明时间段，便于复核人回看同一位置。

判断规则：哪些内容必须处理、按什么方式处理

判断规则把附件中的信息分为直接标识、准标识和业务敏感信息三类，每类对应默认处理方式和可调整条件。分类的目的是让不同人面对同一字段得出相同结论，减少凭感觉处理。

信息类别	典型字段	默认处理方式	可调整条件
直接标识信息	姓名、手机号、身份证号、邮箱、住址、账号	遮蔽或替换	仅当数据主体明确授权且共享范围限于必要人员时可保留，并记录授权依据
准标识信息	工号、订单号、设备号、IP、时间戳组合	评估可重识别风险后保留或泛化	单一字段且无法与其他信息组合定位到个人时可保留；多字段组合能缩小到小范围人群时泛化
业务敏感信息	金额、合同条款、客户名单、内部接口地址与密钥	按敏感级别裁剪或替换	密钥与凭证一律替换，不设保留选项；金额与合同条款按共享对象决定是否裁剪

四种处理方式的适用条件如下：

• 保留：字段不属于三类敏感信息，或属于准标识但单独无法定位到个人，且共享范围可控。保留需在记录中写明理由。
• 遮蔽：字段需要保留格式和位置以便理解缺陷场景，但具体值不能露出，如手机号中间四位、身份证号后四位。遮蔽后应仍能看出字段类型。
• 替换：字段值用等长或同类型的虚构值代替，如姓名替换为“用户A”、订单号替换为测试单号。替换后需保证缺陷复现路径不变。
• 裁剪：整段或整列信息与缺陷无关时直接删除，如日志中无关的请求体、导出文件中多余的客户列。裁剪后需确认不影响问题定位。

判定阈值围绕三项条件设定：可重识别风险，即把附件中的剩余信息与其他已知信息结合后能否定位到具体个人或客户；对外共享范围，即附件接收方是项目内、跨团队还是组织外；数据主体授权情况，即是否有明确授权支持保留原始值。三项中任一项处于高风险，就按更严格的方式处理。阈值取值由组织结合自身合规要求确定，检查表只规定判断顺序：先看共享范围，再看可重识别风险，最后看授权。

分阶段检查项与通过标准

以下检查表按三个阶段排列，每项写成可判断完成与否的条件，并标明证据和负责人。检查时逐项勾选，不跳项。

阶段	检查项	通过标准	证据	负责人
提交前自检	附件已逐张查看	每个附件都有对应的查看记录，记录中写明查看范围	自检记录	缺陷提交人
提交前自检	敏感字段已按规则处理	直接标识信息已遮蔽或替换，密钥与凭证已替换，处理方式与字段类别一致	处理前后对照或处理说明	缺陷提交人
提交前自检	处理痕迹可追溯	每个附件记录处理方式、处理位置和处理时间，替换值有对应说明	处理记录	缺陷提交人
流转前复核	处理方式与判断规则一致	抽查附件中的处理点，处理方式符合字段类别对应的默认方式或已记录调整理由	复核抽查记录	测试负责人
流转前复核	无遗漏附件	缺陷单内附件数量与检查记录条目数量一致，正文中的敏感文字也已处理	附件清单比对	测试负责人
流转前复核	替换后信息仍可支撑复现	按缺陷描述能走通复现步骤，替换值不改变字段类型和长度特征	复现验证记录	缺陷处理人
对外共享前终检	二次识别风险已评估	剩余准标识字段组合后无法定位到具体个人或客户，评估结论有记录	风险评估记录	安全或合规复核人
对外共享前终检	共享范围与授权匹配	接收方范围与数据主体授权或内部审批范围一致	授权或审批记录	安全或合规复核人
对外共享前终检	复核记录完整	记录字段无空缺，复核人、复核时间、结论齐全	复核记录表	安全或合规复核人

三个阶段共用同一份附件清单，后一阶段在前一阶段记录基础上补充，不重新起表。这样复核人能看到处理过程，而不是只看到一个处理结果。

复核记录怎么写、由谁签字

复核记录的作用是让脱敏过程可回溯：谁处理了哪个附件、用了什么方式、谁确认可以放行。记录字段分为处理信息和复核信息两组，两组分开填写，避免同一人既处理又复核。

字段组	字段	填写要求
处理信息	附件名称、附件类型、涉及敏感字段、处理方式、处理人、处理时间	逐附件填写；涉及多个字段时分行列出；处理方式写保留、遮蔽、替换或裁剪之一
复核信息	复核人、复核时间、复核结论、遗留风险说明	结论写通过、退回或例外放行；退回需写明原因；例外放行需附审批记录

责任归属按三层划分：提交人对自检结果负责，确认附件已按规则处理；复核人对复核结论负责，确认处理方式与规则一致、无遗漏；负责人对放行负责，在对外共享前确认终检通过。处理人与复核人分设，同一人不对自己处理的附件出具复核结论。

记录存放位置与缺陷单绑定，随缺陷单一起归档，保留期限按组织的数据留存要求执行。对外共享的附件，其复核记录需能独立导出，便于接收方或审计方查验。在ONES中，缺陷可提交至对应项目或迭代并跟踪修复情况，检查表与复核记录可作为工作项附件或关联文档随单留存，使处理记录和缺陷状态在同一处可查。

阻断项与完成条件

阻断项是必须停止流转的情况，出现任一项即退回处理，不进入下一节点。阻断项清单如下：

• 附件含未处理的直接标识信息，如完整手机号、身份证号、真实姓名。
• 附件含密钥、凭证、Token或内部接口地址等可直接利用的敏感信息。
• 复核记录缺失，或复核人与处理人为同一人。
• 替换或裁剪后无法按缺陷描述复现问题。
• 对外共享前未完成二次识别风险评估，或共享范围超出授权范围。

阻断后的处置动作按顺序执行：退回提交人，说明阻断原因和涉及附件；提交人补充处理并更新处理记录；复核人重新复核，复核通过后恢复流转。退回和重新复核都需在记录中留下时间点，便于统计返工情况。

整张检查表判定为完成的条件是：三个阶段全部检查项通过，阻断项清零，复核记录字段完整并已归档。例外放行需由负责人审批，记录中写明放行理由、放行范围和有效期，并在下一次共享前重新评估。例外放行不改变阻断项清单本身，只对当次共享生效。

常见问题

缺陷单正文里的文字描述含手机号或客户名称，也要按附件规则处理吗？

要处理。检查表的覆盖范围是缺陷单内的全部附件类型，正文中的文字描述若包含直接标识信息，按同一规则遮蔽或替换。流转前复核环节会把“正文敏感文字是否处理”并入无遗漏附件这一检查项，附件清单比对时一并核对。

准标识字段单独看无法定位到个人，是否可以直接保留？

可以保留，但需要满足两个条件：该字段单独无法与其他信息组合定位到个人或客户，且共享范围可控。保留要在记录中写明理由。如果多个准标识字段组合后能把范围缩小到小范围人群，就应泛化处理。判断顺序是先看共享范围，再看可重识别风险，最后看授权。

提交人自检后，复核人能否由同一人担任？

不建议，检查表把处理人与复核人分设，同一人不对自己处理的附件出具复核结论。复核记录缺失或复核人与处理人为同一人，属于阻断项，需退回重新安排复核。团队人手紧张时，可由测试负责人或安全合规复核人承担复核角色，保持处理与复核分离。

替换后的附件还能复现缺陷吗，怎么确认？

替换值需保持字段类型和长度特征，例如姓名替换为“用户A”、订单号替换为测试单号，使复现路径不变。流转前复核阶段由缺陷处理人按缺陷描述走一遍复现步骤，并留下复现验证记录。若替换或裁剪后无法复现问题，按阻断项退回，补充上下文后重新处理。

例外放行后，下一次对外共享还需要重新检查吗？

需要。例外放行由负责人审批，记录中写明放行理由、放行范围和有效期，仅对当次共享生效，不改变阻断项清单本身。下一次共享前要重新评估二次识别风险与共享范围，并更新复核记录。