个人信息保护要求
渗透测试中遇到个人信息（手机号、身份证号、地址、账号资料等）时的基本要求是：不采集、不导出、不扩散。确需证明问题时，以脱敏样本或自建数据呈现，例如用掩码形式展示字段结构，说明该接口返回了他人的姓名与手机号，而不必把真实内容放进报告。合规依据是个人信息保护法——处理个人信息需要有合法性基础，测试授权通常不构成可随意查看与留存个人信息的依据。报告中出现一条真实个人信息，就足以让交付物本身变成风险源，还可能在后续流转中持续扩散。
基本信息
| 基本要求 | 最小化接触、即时脱敏、限期清理 |
|---|---|
| 禁止行为 | 导出真实个人信息用于演示或存档 |
| 脱敏方式 | 手机号、身份证、地址等做掩码处理 |
| 合规依据 | 个人信息保护法对个人信息处理的要求 |
| 交付要求 | 报告与附件不得含未脱敏的个人信息 |
典型使用场景
- 越权漏洞：用掩码呈现字段结构，不复制真实内容
- 接口返回：以字段说明代替真实数据
- 截图处理：统一做马赛克或掩码处理后再入报告
- 演示材料：向外演示的版本必须重新脱敏
- 数据清理：项目结束按约定销毁涉个人信息的数据
脱敏示例
脱敏示例
手机号：138****1234
身份证：110***********1234
地址：保留到城市级
截图：用马赛克工具处理后再入报告
# 原则：能说明字段结构即可，不展示真实内容数据类型与处理
| 数据项 | 常见场景 | 处理方式 |
|---|---|---|
| 手机号 | 用户资料、订单 | 掩码保留前三位后四位 |
| 身份证号 | 实名信息 | 掩码保留前六位后四位 |
| 地址 | 收货信息 | 保留到城市级，隐去门牌 |
| 账号与口令 | 登录信息 | 口令以固定星号替代，不展示原文 |
| 业务数据 | 订单与记录 | 只描述结构，不复制内容 |
报告中出现一条真实个人信息，就足以让交付物变成风险源；脱敏要成为撰写报告时的默认动作，而不是事后补救。
报告附件含完整用户数据表，或演示视频未脱敏直接外发，是最典型的两类违规，一旦外发几乎无法收回。