Apache ShardingSphere 脱敏算法详解与应用指南-优快云博客

本文链接：https://blog.youkuaiyun.com/gitblog_00574/article/details/148362734

Apache ShardingSphere 脱敏算法详解与应用指南

shardingsphere Distributed SQL transaction & query engine for data sharding, scaling, encryption, and more - on any database. 项目地址: https://gitcode.com/gh_mirrors/sh/shardingsphere

什么是数据脱敏

数据脱敏是指对敏感数据进行变形处理，使其在保留数据格式和部分特征的同时，隐藏真实信息。Apache ShardingSphere 提供了强大的数据脱敏功能，通过内置多种脱敏算法，帮助开发者轻松实现敏感数据的保护。

脱敏算法分类

ShardingSphere 的脱敏算法主要分为三大类：

1. 哈希脱敏算法

MD5 脱敏算法：

类型标识：MD5
特点：将原始数据通过MD5哈希算法转换为固定长度的哈希值
可选参数：
- salt：盐值，用于增强哈希安全性（可选）

哈希脱敏是不可逆的，适用于不需要还原原始数据的场景，如密码存储。

2. 遮盖脱敏算法

遮盖类算法通过部分隐藏或替换原始数据来实现脱敏：

保留前N后M算法

类型标识：KEEP_FIRST_N_LAST_M
保留数据的前N位和后M位，中间部分用指定字符替换
参数：
- first-n：保留的前几位
- last-m：保留的后几位
- replace-char：替换字符

保留自X至Y算法

类型标识：KEEP_FROM_X_TO_Y
保留指定区间的字符（从0开始计数）
参数：
- from-x：起始位置
- to-y：结束位置
- replace-char：替换字符

遮盖前N后M算法

类型标识：MASK_FIRST_N_LAST_M
遮盖前N位和后M位，中间部分保留
参数同上

遮盖自X至Y算法

类型标识：MASK_FROM_X_TO_Y
遮盖指定区间的字符
参数同上

特殊字符前后遮盖算法

类型标识：MASK_BEFORE_SPECIAL_CHARS/MASK_AFTER_SPECIAL_CHARS
根据特殊字符位置进行前后遮盖
参数：
- special-chars：分隔字符
- replace-char：替换字符

3. 替换脱敏算法

通用表格随机替换：

类型标识：GENERIC_TABLE_RANDOM_REPLACE
特点：根据码表随机替换原始字符
参数：
- uppercase-letter-codes：大写字母码表
- lowercase-letter-codes：小写字母码表
- digital-codes：数字码表
- special-codes：特殊字符码表

实际应用场景

用户手机号脱敏：

使用保留前3后4算法：138****1234

配置示例：

type: KEEP_FIRST_N_LAST_M
props:
  first-n: 3
  last-m: 4
  replace-char: '*'

电子邮件地址脱敏：
- 使用特殊字符前遮盖算法：***@example.com
- 配置示例：
```
type: MASK_BEFORE_SPECIAL_CHARS
props:
  special-chars: '@'
  replace-char: '*'
```
身份证号脱敏：
- 使用保留前6后4算法：110105*******1234
- 配置示例：
```
type: KEEP_FIRST_N_LAST_M
props:
  first-n: 6
  last-m: 4
  replace-char: '*'
```

最佳实践建议

选择合适的算法：
- 需要完全隐藏：使用哈希算法
- 需要部分显示：使用遮盖算法
- 需要保持格式：使用替换算法
性能考虑：
- 哈希算法计算开销较大
- 遮盖算法性能最优
- 随机替换算法适合需要保持数据格式的场景
安全性考虑：
- 对于高度敏感数据，建议使用不可逆的哈希算法
- 遮盖算法虽然可读性好，但可能被推测出原始数据
合规性考虑：
- 根据行业规范选择适当的脱敏程度
- 金融行业通常要求更强的脱敏

配置示例详解

以下是一个完整的脱敏规则配置示例：

rules:
- !MASK
  tables:
    user_info:
      columns:
        id_card:  # 身份证号字段
          maskAlgorithm: id_card_mask
        phone:    # 手机号字段
          maskAlgorithm: phone_mask
        email:    # 邮箱字段
          maskAlgorithm: email_mask

  maskAlgorithms:
    id_card_mask:
      type: KEEP_FIRST_N_LAST_M
      props:
        first-n: 6  # 显示前6位
        last-m: 4   # 显示后4位
        replace-char: '*'  # 中间用*代替
        
    phone_mask:
      type: MASK_FROM_X_TO_Y
      props:
        from-x: 3   # 从第4位开始
        to-y: 6     # 到第7位结束
        replace-char: '*'  # 遮盖这部分
        
    email_mask:
      type: MASK_BEFORE_SPECIAL_CHARS
      props:
        special-chars: '@'  # 以@为分隔符
        replace-char: '*'   # @前面的内容用*代替