给 Agent 做联调数据脱敏，怎样保留跨表关联而不带入真实身份

给Agent准备联调数据，不能只把姓名替成星号。订单、客户与联系人之间的关系若被破坏，测试会把数据错误误判成接口错误；关系全部保留却留下稀有组合，也可能继续识别到真实对象。先确定联调需要哪些关系，再做受控替换与泄露检查。本文处理已有样本的技术脱敏，不是从需求构造售前演示任务。

先确认允许使用的样本范围

业务数据责任人明确可以取哪些表、字段和记录，谁能看原始样本，脱敏结果交给谁。开发方不要为了方便导出整库。先把联调问题写清，例如验证客户到订单的关联与联系人权限，只保留这个任务必要的列；不需要的备注、地址和附件直接排除。

样例包使用完全合成的三张表展示方法，不含真实身份。真实源数据应在授权环境里处理，原始标识到替代标识的映射表受控保存，不随可公开附件一起交付。处理记录标明源范围与规则版本，而不是将敏感原值写进普通日志证明做过替换。

同一客户在客户表与订单表里替换成同一合成客户ID，不同客户不意外合并。联系人同理，联合键和租户边界也要保持；两个租户都叫客户001时，不能映射为同一个对象。测试结果应能比较主键唯一性、外键命中和对象数量，而不依赖看到真实姓名。

Google敏感数据保护的伪名化说明讨论一致变换及引用完整性相关机制。但伪名化不自动等于匿名化，也不保证无法再识别。本文不要求把数据上传某个云服务，工具和处理位置须符合客户的数据边界。

接口要求日期或邮箱格式，替换值仍应满足需要验证的格式，但使用合成不可投递目标或明确模拟端。金额等业务值若不影响本次测试，可以改成合成区间；若要保留边界关系，则记录为何需要，以及是否可能暴露稀有对象。不要默认随机打乱所有值一定安全。

自由文本尤其要检查，客户名可能嵌在备注、文件名和错误描述中。直接删掉某列不代表关联导出里没有同一信息。先枚举输出路径，再用合成唯一标记和人工抽检核对规则；真实数据处理时按授权策略审查，不能把某条正则扫描没命中当作零泄露证明。

下载跨表脱敏规则与合成数据。附件列客户、订单、联系人三表、替换规则和预期关系检查，另有跨租户同号、映射碰撞、孤儿订单与自由文本残留分支。它展示技术校验结构，不提供真实样本或映射密钥。

先在合成包上执行唯一性与外键检查，确认规则逻辑；真实环境再比较脱敏前后经批准的数量与关联分布。保留必要相等关系，不保留不必要的可识别内容。检查失败时停止导出，修正规则重做，不在交付方机器上手工补回一段真实文本来让测试通过。

更换映射规则后，旧测试结果引用的ID可能失效，应同步数据版本与夹具，不能将两批映射混用。若要求持续增量联调，明确新增对象怎样获得稳定别名、删除与权限变化怎样传播。稳定映射有助测试，也增加长期关联能力，保存范围和期限需受控。

交付验收包括字段清单、关系检查、人工抽检与接收范围，不只看文件成功打开。接收方验证样本能否重现目标接口问题，而不是要求复原真实客户。原始数据访问、脱敏规则执行与导出领取各有责任人，确保后续排障不会绕过既定边界。

环境区别可参考测试迁正式核对，本题归入流程自动化的联调准备。通过定制咨询提供脱敏后的表结构、必需关系与允许字段，可评估一致替换和引用完整性检查。