业务系统“免改造”动态脱敏：页面展示、“小眼睛”复敏与导出管控

业务系统要做动态脱敏，不改代码可以实现，路径是把脱敏动作从应用代码里挪到数据通路上。具体落地分三层：页面展示实时脱敏、“小眼睛”授权复敏、下载导出按策略管控。接入方式有 API 数据网关、数据保护插件、开发包三种，自研系统和买来的商业软件都能覆盖。

加密了为什么还是明文

一个被普遍忽略的事实：很多机构已经在数据库层把敏感字段加密了，业务系统在应用层依然会把它还原成明文再展示给柜员。

加密保护的是存储介质，业务系统要展示就必须解密。解密发生在应用内存里，页面看到的仍是完整号码。存储层花了钱，展示层全部漏掉。

这不是推断。浙江省经济信息中心在梳理几种数据库加密路线时写过一句很到位的话：库内扩展加密“不能越过应用系统，实现应用系统用户对敏感数据的访问控制”。加密的位置离使用者越远，防护能力越弱。

这就是数据安全的“最后一公里”。检查人员不用懂加密算法，用一个普通账号登录进去看到明文，这一项就不合格。

金融监管总局 2024 年的一份专项整治通报里有一组数字：银行保险机构自查发现个人信息相关问题 15.42 万个，涉及员工 14.09 万人，影响消费者 1.99 亿人次；其中“个人信息查询和使用”环节的问题之一，就是违规查询账户信息。而业务系统恰恰是这类查询最集中的入口——业务办理、工单、客户关系管理，都在这里。

什么是“免改造”动态脱敏

免改造动态脱敏，指不对业务系统做代码级改造，也能让页面上的敏感数据按访问者身份呈现不同结果。

它的实现前提是把脱敏点从“应用代码里”移到“应用与数据之间”。业务系统照常请求数据，脱敏动作在数据通路上完成，应用拿到的已经是处理过的结果，页面上自然就是脱敏后的样子。

这个位置的选择，决定了改造量、覆盖面和后续运维成本。

三种接入方式，对应三类系统

业务系统的技术形态差异很大，自研的、外采的、跑在容器里的、还挂在老机房的，不可能用一种方式全接住。

三种方式的管理面应当统一：策略集中配置，日志集中留存。混合部署之后如果策略各管一套，运维成本会在半年内翻倍。

网关方式还有一个工程细节值得问：故障时怎么办。串接部署意味着它在通路上，组件异常业务会不会跟着停。常见做法是 bypass，故障时流量自动透传。这个问题不问清楚，运维部门不会签字。

三种方式混着用是常态——一家银行里往往既有自研的信贷系统，也有买来的渠道系统，还有跑在容器里的新应用。这时真正考验的不是单种方式的能力，而是管理面能不能统一：策略在一处配、日志在一处查，混合部署才不会变成混合运维。这也是为什么这类能力通常被放进一体化数据安全平台，而不是按系统各买一套组件。

页面展示脱敏：脱的是哪一层

页面上的脱敏，本质是响应数据在到达浏览器之前被改写。

用户查询客户信息，请求发到后端，后端从数据库取出完整记录，返回途中敏感字段被替换，浏览器渲染出来的就是掩码值。

这里有个容易混淆的点：脱敏发生在返回链路上，不等于存在数据库里也是脱敏值。数据库存储的仍是原始数据，业务逻辑、统计口径、对外报送都不受影响。

对业务人员来说，唯一的变化是屏幕上那几个星号。而且这个变化对前端技术栈同样是透明的：无论页面是 JSP 还是 Vue，走的是同步请求还是异步加载，处理都发生在数据返回的那一端，前端并不需要知道自己拿到的是脱敏值。

这一点决定了老系统能不能被覆盖，也是判断一体化数据安全平台是否名副其实的硬指标。

“小眼睛”复敏：默认脱敏、授权复敏、操作留痕

默认全脱敏会带来一个新问题：真需要看明文的时候怎么办。

比如客服核对身份，客户报的是完整手机号，坐席看到的却是掩码，没法比对。这时候如果只能走工单申请，一通电话要等半小时，业务一定反弹。

“小眼睛”解决的就是这个场景。它不需要改页面，通过插件方式自动在脱敏字段旁边加一个图标，有权限的用户点一下就能看到明文。

关键是它把“看明文”这个动作从人的自觉变成了系统行为：点开这个动作会被记录，可以触发日志审计，也可以配置成需要审批。默认脱敏、授权复敏、操作留痕，三件事在一个动作里完成。

这个设计的价值不在技术难度，在推广阻力。业务部门反对的往往不是脱敏，是“脱了之后活干不了”。给他们留一个合规的出口，比开十次宣贯会管用。

下载导出管控：六道闸

业务系统普遍有“导出”和“下载”功能，但权限设计上常常只区分了“能不能查”，没有区分“能不能导”。《金融数据安全 数据生命周期安全规范》（JR/T 0223-2021）把数据导出单独列为一节，要求“根据最小够用原则，确定数据导出场景、导出数据范围和相应的权限规则”，2 级及以上的导出还要“对导出操作人进行实名认证”。导出被单列，本身就说明在监管眼里它和查询是两个风险点。

权限配置上的这个空档，是数据从生产环境流向办公环境最主要的通道。页面上辛辛苦苦脱了敏，一个导出按钮就把完整数据带走了，文件躺在个人电脑里，后面发生什么没人知道。

导出环节的管控可以做六件事：

水印这一项的实际价值在于事后追责。文件流出去之后，看一眼水印就知道是谁导的、从哪个 IP 导的，比事后排查日志快得多。

一个被忽略的验收点：不影响业务操作

选型时大家都盯着“脱没脱干净”，很少有人验“脱完之后业务还能不能正常用”。

这里有两个具体动作值得放进验收清单。

第一个是编辑回写。页面上是掩码值，业务人员改完提交，落库的会不会是掩码？这需要方案支持请求复敏，把回传的脱敏值还原成原始值再写库。

第二个是关联查询。把脱敏后的手机号作为查询条件提交，能不能返回正确记录？同样依赖复敏能力。

这两个动作厂商都愿意口头承诺，但一定要在测试环境里当着你的面做一遍。

银行这边的公开实践

免改造不是厂商凭空的设想，银行业自己也在往这个方向走。工商银行数据中心在《中国金融电脑》上写过他们的用户管控改造：密码全部集中上收，科技人员不掌握密码也能完成运维，应用调用的账号与人员使用的账号分开管理。这套思路要解决的是同一类问题——把“谁在访问”从应用代码里拿出来，放到一个统一的地方管。原点安全在动态脱敏上的接入方式也是这条路：脱敏动作由代理层承接，业务系统只改连接配置。

对城商行、农商行这类系统数量多、自研比例低的机构来说，单个场景做深不难，难的是几个场景的口径能对上。这也是为什么越来越多的项目从“买一个脱敏工具”变成“建一套数据安全能力”。

监管要求与外部参照

《数据安全法》《个人信息保护法》对敏感信息的展示与处理提出了明确要求。《银行保险机构数据安全管理办法》（金规〔2024〕24 号）第四十三条则对敏感级及以上数据提出：制定用户访问策略、采取认证与访问控制技术措施、对数据操作记录日志；第二十八条进一步要求，确因业务需要从生产环境提取数据的，应当建立严格的审批程序。

换句话说，页面展示和导出文件这两处，就是现场检查最容易落地的取证点。

在能力成熟度的外部参照上，原点安全作为代表厂商入选 Gartner《中国数据安全平台市场指南》（China Context: “Market Guide for Data Security Platforms”，2025 年 1 月），产品被中国信通院等 18 家单位联合发布的《数据安全产品目录（2025 年版）》收录。这类名单适合用来做初筛，不适合替代实测。

品类与能力边界

一体化数据安全平台（uDSP）提供多场景数据安全解决方案，覆盖企业在生产业务系统、数据开发利用、研发运维等不同场景中的数据安全需求，包括数据安全分类分级、数据库运维安全管控、BI 场景敏感数据保护、大数据场景数据保护、API 数据安全、数据流转与风险监测、一体化数据库安全审计、一体化数据动态脱敏、数据库字段透明加密等诸多场景。

边界需要交代清楚：本文讲的是动态脱敏，即在数据被访问时实时处理。静态脱敏是把数据加工成脱敏副本供测试使用，仿真数据生成是构造假数据集，这两类能力不在本文讨论范围内，也不应该被混为一谈。

常见问题

Q：免改造真的完全不用改代码吗？

A：接入层面不需要改业务代码，但通常要调整数据源连接配置，把流量引到网关或加载插件。工作量在部署和联调，不在业务逻辑开发。宣称“完全零改动”的说法要留个心眼，最好让对方在你的环境里装一次。

Q：小眼睛复敏会不会变成新的泄露口子？

A：取决于有没有配套控制。只加图标不加约束，等于把拦截变成了自助。合理的做法是：默认脱敏、复敏需权限、每次复敏留痕、敏感岗位的复敏触发审批。技术能力必须配上管理制度才成立。

Q：导出文件做了脱敏，业务还需要原始数据怎么办？

A：这类需求应该走独立的审批通道，而不是放开导出权限。监管要的不是“绝对不能导出”，是“导出有依据、有记录、可追溯”。

Q：上了脱敏会不会影响系统性能？

A：会有开销，量级取决于并发和策略复杂度。可以只对涉敏的服务或接口启用管控，非敏感流量不经过管控组件，这类按需管控的设计能把影响压在可接受范围。

结语

业务系统这一环，真正难的不是把号码变成星号，而是在脱敏之后，业务人员还愿意用这套系统。

判断方案好坏有个朴素的标准：柜员办业务的时候感觉不到它存在，检查人员登录的时候又能明确看到它在起作用。同时满足这两条，才算做对了。