合成数据与匿名化：测试数据到底该怎么选

合成数据与匿名化经常被当成同一件事的两种叫法，实际它们站在两个完全不同的起点上：一个从来不来自真人，另一个来自真人再想办法抹掉痕迹。这个区别决定了你需要承担多少义务，也决定了测试里哪种做法更省心。本文把四条路径摆在一起对照，读完你能判断手上这批数据到底属于哪一类，以及为什么看起来处理干净的数据仍然可能指向具体的人。

四条路各自做了什么

第一条路是合成：数据由程序按规则凭空生成，从第一条记录起就不对应任何真人。第二条是匿名化：数据来自真实记录，通过处理让它在合理手段下无法再还原到个人。第三条是假名化：标识字段被替换成编号，但对应关系仍然保存着，需要时能换回来。第四条是掩码：原始记录原封不动，只是展示时只显示局部。

这四条路里只有第一条从一开始就没有「原始人」这个对象。其余三条都建立在一份真实数据之上，处理程度不同而已，而处理程度正是风险与成本的来源。

删掉姓名为什么不算匿名?

因为身份识别从来不只依赖姓名。一份记录里真正有指向性的往往是那些看起来最无关的字段：出生日期、邮政编码、性别、职业、设备类型。把它们中的几个放在一起，就足以把一个人从人群里挑出来，而姓名字段在不在，对结果几乎没有影响。

这也解释了一个反直觉的现象：匿名化的难度并不随处理的字段数量线性下降。去掉姓名、去掉号码，看起来「干净」了很多，但只要还剩几个足够细的字段，指向性就依然存在。真正让匿名化成立的，是再也找不到任何一条能回到个人的路径，而不是某个字段被替换掉了。

组合字段是怎么把人认出来的?

思路很简单：每一个字段都在缩小候选范围。只按性别分组，人数减半；再加上一个精确到日的出生日期，范围就小得多了；再加上一个细分到街区的邮政编码，剩下的候选往往只有个位数；再来一个「某年入职某公司」的描述，答案通常只有一个。

这类重新识别之所以难以彻底防住，是因为它不需要任何额外的秘密信息，只需要把手上这份数据与另一份公开或半公开的数据做交叉。测试数据里常见的「看起来很普通」的字段集合，恰好就是最容易发生交叉的组合。

因此在评估一份数据能不能用于测试时，值得问的不是「姓名去掉了吗」，而是「把所有字段放在一起，能不能指向一个具体的人」。只要答案是能，这份数据的性质就与真实个人数据没有本质区别。

测试更适合用哪一种?

对绝大多数测试场景来说，合成的成本最低、限制最少。它不需要来源审查，不需要对照表管理，可以随时按需要重新生成，也不会因为某次误导出而产生长期影响。

匿名化不是完全不能用，但它需要额外的评估：处理方式是什么、有没有做过反推检查、字段精度降到了什么程度。假名化与掩码则更适合「不得不接触真实数据」的场合，比如生产环境的问题排查与客服界面展示，这时正确的做法是把访问范围控制住、把保留时间压到最短。注意所有合成出来的身份数据都只用于测试与演示，它们不代表任何真实的人，也不能用来冒充某人、通过实名核验或者开通需要真实身份的服务。

分布的形态与来源是两件不同的事

一个常见的误解是：既然不能用真实数据，那就只能用与真实世界无关的数值，于是生成出来的记录年龄集中在某个区间、姓名结构单一、地址全都落在一座城市。这样做的结果是测试覆盖率下降——不是因为数据不真实，而是因为分布太窄。

正确的关系是：数据的形态可以模仿真实世界，来源却必须与之无关。真实世界里年龄有自然的分布、姓名的长度与结构有常见的组合、地址有不同的层级与书写顺序，这些都可以照着生成。但每一条具体取值都应当是重新构造的，而不是从某份导出里挑出来的。

按这个原则做还有额外的好处：你可以主动调整分布，让测试覆盖到真实数据里罕见的角落——高龄用户、超长姓名、没有姓氏的记录、以及跨国组合。这些样本在真实数据里恰好是最难遇到的一类，而缺陷往往就藏在它们身上。

给开发者：怎么把「合成」这件事做扎实

第一，让生成过程可复现。给生成器一个明确的输入依据，同样的输入永远得到同样的记录，这样失败可以重放，样本可以固定。可复现的取舍见可复现的测试数据。

第二，分布要像真数据，来源不能是真实记录。这两条并不矛盾：年龄的分布、姓名的结构、地址的层级都可以模仿现实世界的形态，但每一条取值都必须是重新生成的，不能从某份导出里搬运。合成数据只用于测试与演示，它不代表任何真实的人，也不能用来冒充他人或通过任何实名核验——把它与真实记录混在同一个数据集里，是最不该出现的做法。

第三，验收时能证明数据干净。留住生成依据、生成时间与字段来源说明，让后来的人可以核对这批数据不是从生产环境带过来的。这比在文档里写一句「已脱敏」有用得多。

第四，把重新识别的风险当成测试项。做法是拿这份数据做一次交叉尝试：只看几个字段能否唯一确定一条记录，能确定就说明精度过高，需要降精度或者干脆换成合成数据。相关字段之间怎么保持自洽见身份数据一致性，隐私规则层面的考虑见测试数据与隐私规则。

下一步

如果你正准备把一批数据放进测试环境，先用身份信息生成器按需要生成一批合成记录，再与手上那份数据做一次重新识别对照，看结论差在哪里。生成的数据仅供测试使用，不要把它当作任何真实个人的资料。