Excel 和 WPS 表格怎么脱敏？从隐藏结构清理到导出验收的完整流程

给客户发一份报价表，把客户名称那一列填成黑色；给外部审计人员发台账，先隐藏员工手机号和工资列；给豆包做分类分析，把不用的工作表隐藏后导出 PDF——这些动作看起来都像“脱敏”，却可能只改变了页面上正在显示的部分。

Excel 和 WPS 表格不是一张静态纸。一个单元格能同时拥有显示值、底层公式、备注、格式和链接关系；一份工作簿还可能包含隐藏行列、隐藏工作表、命名区域、外部数据连接、透视表缓存、图表、对象、文档属性和打印范围。收件人看不到某个字段，不等于文件里没有它。只要对方能取消隐藏、查看公式栏、编辑名称、刷新连接或检查文件结构，原本以为已经“遮住”的信息就可能重新出现。

因此，Excel 脱敏的正确目标不是“把敏感单元格变黑”，而是为明确接收人制作一份内容最小、结构受控、经过验证的交付副本。脱敏卫士（RedactOS）可以承担转换后 TXT、PDF 或图片中的敏感内容候选识别、人工复核、输出和任务留痕；它当前不原生支持 XLSX，也不会替 Excel 或 WPS 清理公式、连接、宏、隐藏工作表和透视缓存。两个工具的责任必须分开，才能避免把格式转换误写成安全能力。

先看结论：表格脱敏是两层工作，不是一个按钮

第一层是源结构治理。在 Excel 或 WPS 表格中复制原件、确定交付用途、展开所有工作表和行列，检查公式、批注、名称、连接、缓存、对象与属性，删除不需要的结构，保留必须存在的计算关系。这里的目标是决定“交付副本里究竟还应存在什么”。

第二层是导出内容脱敏。按接收人的实际任务，将受控工作表导出成 TXT、PDF 或图片，再用脱敏卫士识别身份证号、手机号、银行卡号、统一社会信用代码、合同编号、金额、姓名、地址、机构等候选，取消误报、补上遗漏，选择涂黑、星号或结构化代指，并对最终文件反查。

这套分工解决四个常见失败点：

常见失败	脱敏卫士参与的动作	可以观察的结果	仍由 Excel/WPS 或责任人完成
经办人只按记忆搜索几个姓名和账号	固定格式由规则给出候选，姓名、地址、机构等由 AI/NER 辅助识别	复核清单按类型集中呈现，不再只依赖预先知道的原值	公式、工作表关系与结构范围盘点
PDF 或图片中既有文字又有扫描内容	桌面端支持文字型 PDF、扫描型 PDF 和常见图片，并允许图片区域手动框选	可见页面、OCR 候选和人工框选进入同一轮复核	导出前确保只选中获批工作表和区域
自动识别出现误报或漏报	关闭误报、划词补漏，高频特例可沉淀为自定义规则或黑白名单	最终处理项可逐条收口，而不是整表无差别替换	业务负责人确认哪些字段可保留
处理完只剩一个叫“最终版”的文件	任务自动形成记录，可查看脱敏列表或可读映射，并支持任务内还原	能回到任务核对处理范围和必要还原，不只依赖文件名	控制映射、还原权限和原工作簿归档

真实高敏表格优先使用桌面端：导出的支持格式、处理过程、任务记录和还原关联信息留在本机，可在断网环境使用。这里的数据边界只覆盖脱敏卫士自身流程；如果处理结果随后上传到 WPS 云文档、邮件、网盘或第三方 AI，后续服务的数据流和留存策略仍要单独核对。

表格里的敏感信息，为什么比页面上看到的多？

单元格：字体和填充色不是删除动作

把字体改成白色、把单元格填黑、缩小列宽、用形状覆盖，改变的是显示。原值可能仍在公式栏中，也可能被复制到纯文本编辑器，或在改回格式后重新显示。即使直接按 Delete，也要确认操作对象是单元格内容而不是仅清除格式，并检查公式、批注、数据验证提示和引用它的其他位置。

如果交付对象只需要统计结论，不要在原表中逐格盖黑后直接发送。更稳妥的方法是复制出一张最小数据表，只留下获批字段与记录；对需要编辑的数据，再把敏感原值替换为明确代号。完成后搜索原值及其变体，并检查下游公式是否仍指向已经删除的区域。

公式：显示结果可能无害，公式文本却暴露业务关系

一个单元格显示“合格”，公式可能是 =IF(身份证号校验列="通过",...)；一个显示“华东区”的汇总，公式或外部引用里可能带有客户文件名、部门路径、项目代号和真实工作表名称。选中单元格后，公式栏会显示公式；复制工作表、查看名称或编辑链接时，也可能看到源信息。

交付副本不需要继续计算时，可以在复制件中将获批区域“粘贴为值”。Microsoft 官方说明明确指出，公式转值会永久移除公式，因此应先复制工作簿并评估影响。还要注意显示值与实际存储值可能不同：界面上看到两位小数，底层值可能有更多精度；日期也可能以序列值保存。转值后重新核对小计、合计、比例、日期、负数和小数精度，不能只看版式没变。

如果接收人确实需要公式，就不要为了脱敏盲目转值。应把公式当作必须审阅的交付内容：检查直接引用、跨表引用、外部工作簿引用、错误分支和字符串常量，替换会泄露身份或路径的信息。财务、审计、合同或证据表格中的公式能否改动，应由相应专业负责人确认。

批注与备注：讨论记录可能比表格正文更敏感

Microsoft 365 Excel 区分线程式“批注”和传统“备注”。批注可能包含协作者身份和对话，备注可能记录异常原因、供应商联系人、谈判底价、病假说明或尚未确认的内审意见。把指示标记隐藏，只是关闭显示，并未删除内容。

在 Excel 中，应打开批注任务窗格跨工作表审阅，并显示全部备注逐项处理；在 WPS 表格中，可以通过“审阅”检查、显示、编辑或删除批注。菜单名称会随版本变化，但验收标准不变：交付副本中不需要的讨论内容被实际删除，需要保留的说明已改写为不含敏感身份的正式文字，保存重开后再检查一次。

隐藏行列与工作表：隐藏是视图状态，不是访问控制

预算表常把辅助计算列隐藏，人事表常把身份证号列隐藏，台账可能把“原始数据”工作表设为隐藏。收件人只需取消隐藏即可看到。筛选也一样：被筛掉的记录仍在表里。Microsoft 的官方文档检查器说明，工作簿可以包含隐藏行、隐藏列和隐藏工作表；如果它们含有数据，直接删除还可能改变公式结果。

所以不要一看到隐藏结构就点“全部删除”。先在副本中取消隐藏，查看内容、公式依赖和用途，再分别决定：删除、转值后删除、拆分到受控原件，或保留并纳入交付范围。WPS 官方教程也说明隐藏行列和工作表可以取消隐藏，但不同终端的入口可能不同，组织应以当前部署版本固定检查步骤。

最容易漏掉的四层：名称、连接、缓存和属性

命名区域与表名称

Excel 的名称管理器可以为单元格、区域、公式或常量命名。名称本身就可能泄露“核心客户名单”“离职补偿”“未发布项目”等信息；“引用位置”还可能指向隐藏工作表或外部文件。打印区域通常也以名称形式保存。即使页面只导出 A1:H20，源工作簿里仍可能保留其他名称与引用。

在处理副本中打开名称管理器，逐项检查名称、作用域、引用位置和备注。对不再使用的名称，确认没有公式、图表、数据验证或打印设置依赖后再删除；对必须保留的名称，改为不泄露业务秘密的中性命名。隐藏名称、宏生成名称或第三方加载项名称不一定能靠普通列表完整判断，出现不明结构时应交给熟悉该工作簿的技术或业务人员处理。

外部数据连接与查询

工作簿可以从文本、数据库、其他工作簿或数据服务取数。Microsoft 官方说明指出，连接信息可能存储在工作簿中；删除连接只会移除连接关系，不会自动删除已经载入工作簿的对象或数据，而且可能造成公式和功能后果。连接名称、服务器位置、文件路径、查询语句或认证相关信息都值得检查。

在 Excel 的“查询和连接”或工作簿连接界面中，查看每条连接的名称、属性、使用位置与刷新行为。交付副本不需要刷新时，先由负责人确认是否可以转为静态值，再移除连接；移除后检查表、透视表、图表和公式是否仍能正确显示。不应为了验证而在不受控网络中点击“全部刷新”，也不能假设删除连接后缓存数据会一起消失。

WPS 对不同来源和版本的连接兼容情况并不完全相同。当前可核实的官方基础教程不足以证明存在覆盖 Excel 所有连接类型的统一检查器。因此，用 WPS 打开的 XLSX 如果含查询、数据模型、宏或复杂连接，至少要在组织实际部署版本中检查是否有兼容提示、刷新入口和对象丢失；证据不足时不要直接外发可编辑源文件。

透视表、透视图与缓存

透视表页面可能只显示地区合计，但缓存中可能留有客户、员工或交易明细。Microsoft 官方说明指出，创建透视表或透视图时，Excel 会保存一份用于报表的数据副本，这个存储区域就是透视表缓存。多个透视表还可能共享缓存。

如果接收人只需要汇总图表，优先在受控副本中生成静态结果或已处理图片，不把带缓存的原生透视表一并发送。若接收人必须交互筛选，则由数据负责人确认源字段和缓存是否都在授权范围内，并用实际接收版本测试钻取、双击明细、筛选器、切片器和时间线。文档检查器能提示部分 BI 缓存，但并不能替你判断是否应删除或如何维持功能。

文档属性、页眉页脚、对象与文件名

作者、最后保存人、公司、标题、主题、自定义属性、打印机路径和文档位置可能不在单元格区域，却会随文件流转。页眉页脚可能带有内部等级、共享路径或项目名；图表数据标签、文本框、图片、嵌入文件和宏也可能承载不可见内容。文件名本身更常被忽略，例如“某客户裁员补偿最终明细.xlsx”。

Excel 桌面端可以在处理副本中通过“文件—信息—检查问题—检查文档”进入文档检查器。Microsoft 建议先保存原件副本，因为某些删除无法撤销；同时官方也列出检查器能发现但不能自动移除的类型，包括外部链接、嵌入对象、宏、部分缓存、筛选和隐藏名称。检查结果只是问题清单，不是安全证书。

WPS 的版本、平台和会员功能差异较大。当前官方资料可以确认隐藏结构、批注、打印范围与 PDF 输出等基础能力，但不足以证明它有一套与 Excel 文档检查器完全等价、覆盖全部结构的统一流程。用 WPS 作为主编辑器的团队，应在当前部署版本中逐项验证属性、名称、连接、对象、宏与缓存入口，形成自己的截图清单；无法证明源结构已收口时，交付最小化的 PDF 或图片副本通常比直接发 XLSX 更易控制，但仍须检查最终导出件。

TXT、PDF 还是图片？先由接收任务决定

导出 TXT：适合纯字段分析，但会丢失表格结构

TXT 适合接收人只需对选定字段做分类、去重、关键词分析或导入其他系统的场景。它不会保留单元格格式、工作表、图表和公式，但分隔符、换行、引号、编码和前导零会改变数据解释。一个身份证号或合同号若被当作数值，前导零可能丢失；单元格内换行也可能变成新的记录。

导出前先把需要的列复制到新工作表，保留清晰表头，固定日期和编号为所需文本格式，并放入不含真实敏感值的抽样记录验证编码与分隔。导出后用纯文本编辑器重开，检查行数、列数、乱码、引号、换行和原值。TXT 可进入脱敏卫士支持流程，但它不携带原工作簿结构，所以公式、隐藏工作表、批注和连接必须在导出前完成判断。

导出 PDF：适合阅读与打印，但导出范围决定可见结果

Excel 和 WPS 表格都支持按工作表、选定区域或打印范围输出 PDF。打印区域可能只覆盖当前想展示的单元格，而隐藏行列、分页、重复标题、缩放和对象位置会影响结果。Microsoft 官方文档说明打印区域会随工作簿保存，且一个工作表可有多个打印区域；WPS 官方教程也提供选定区域、选定工作表和整个工作簿等打印范围。

在导出前逐页看打印预览，确认工作表范围、分页、页眉页脚、批注打印设置、图表、截断文字和重复标题。导出成功只证明生成了 PDF，不证明底层值已清除。文字型 PDF可能可以搜索复制，图片型 PDF仍可被 OCR；遮住文字的形状在转换中是否真正去掉原值，必须对最终 PDF 实际验证。

导出图片：适合固定展示，但裁剪和 OCR 仍要检查

图片适合只需要展示小范围表格、图表或培训示例的场景。先在最小工作表中去掉无关行列和对象，再按获批区域导出或截图，不要从全量表直接裁一块就认为周边内容不存在。检查图片边缘、缩略图、文件名、分辨率和画布外区域；肉眼看不清的小字仍可能被 OCR 识别。

图片进入脱敏卫士后，可通过识别候选与手动框选补充处理。对低清、倾斜、表格线密集或水印覆盖的图片，自动识别更容易漏项，人工逐块检查不能省略。处理后的图片也要在另一个查看器中放大重开，并用本地批准的 OCR 工具对分析副本抽查。

一份 XLSX 从原件到交付件的九步流程

第一步：冻结原件，创建处理副本

保留收到的原始工作簿，不在原件上删除隐藏结构或转值。记录来源、文件名、用途、接收人和处理日期，在受控位置创建处理副本。合同、证据、财务、人事或审计材料的原件保留、修改权限和归档要求，由法务、财务、HR、内审、档案或业务负责人确认。

第二步：写“接收人—任务—字段—格式”矩阵

不要只写“发给外部”。明确接收人要完成什么：只看趋势、核对某个供应商、审查合同台账、训练分类器，还是继续编辑公式。为每类字段标记保留、删除、代指、汇总或另行审批，并决定接收格式。相同原件面向不同接收人，应生成不同副本。

第三步：展开可见层，建立工作簿地图

列出所有工作表、可见状态、使用区域、表对象、图表和关键公式。取消隐藏行列与工作表，清除筛选后查看全量记录；检查冻结窗格、分组折叠和打印区域。发现来源不明或“超隐”等普通界面无法确认的工作表时，先暂停，由熟悉文件结构的人员判断。

第四步：检查公式、名称、批注与属性

显示公式并抽查常量、跨表引用和外部路径；打开名称管理器检查名称与引用；逐个工作表审阅批注和备注；运行 Excel 文档检查器或按 WPS 当前版本清单检查属性、页眉页脚、对象与个人信息。任何删除都在副本中完成，并在保存重开后复查。

第五步：检查连接、透视缓存、宏与嵌入对象

记录查询和连接的用途、使用位置、刷新行为；测试透视表钻取和筛选会显示什么；识别宏、控件、数据模型和嵌入文件。无需交互功能时，经批准后转为静态内容；仍需功能时，把相关底层数据纳入明确授权范围。不能确认的对象不要带着侥幸直接发送。

第六步：制作最小导出表

不要从复杂原表直接“另存为”。新建仅含获批字段和记录的工作表或工作簿，必要时粘贴为值，并核对行数、列数、合计、比例、日期、单位、编号和空值。把保留的每个字段与接收任务对应起来，无法说明用途的字段原则上不进入导出候选。

第七步：按用途导出 TXT、PDF 或图片

TXT 检查编码、分隔和前导零；PDF 检查打印区域、分页、页眉页脚、批注设置与文字截断；图片检查裁剪边界和清晰度。保存后立即关闭并重开导出件，确认导出的确是获批工作表和范围，而不是上一次缓存的选区。

第八步：在脱敏卫士中识别、复核和输出

真实高敏材料优先在桌面端导入。按本次用途启用必要实体类型：固定格式字段使用规则候选，姓名、地址、机构等上下文实体使用 AI/NER 候选；组织内部编号或必脱名称可用自定义规则和黑名单补充，必须保留的高频词可用白名单保护。逐项取消误报、划词补漏，图片则框选遗漏区域。

给人阅读的副本可选择涂黑或星号；需要豆包、Kimi、通义千问等工具理解“同一人物、机构、地址”关系时，可使用带实体类型的代指。任何后续 AI 服务是否上传、如何留存、谁能访问，都不属于本机脱敏完成后的自动保证，应由安全负责人另行确认。

第九步：冻结最终文件并做双层验收

一组人复核源结构清理与导出范围，另一组人只拿最终待发文件反查。通过后记录文件名、大小、生成时间、接收人、任务号和处理方式，冻结文件不再编辑。任何重新导出、压缩、加水印或转换格式都会产生新的交付候选，都要重新验收。

最终验收矩阵：同时检查“来源”和“交付件”

验收维度	源工作簿／处理副本	最终 TXT、PDF 或图片	不通过信号
范围	核对工作表、行列、筛选、打印区域、对象和接收用途	核对页数、行列数、画布与实际内容	多出未批准工作表、记录、列或页面
原值反查	搜索姓名、账号、手机号、客户名、项目号及变体	搜索或 OCR 相同原值，复制到纯文本	任一应处理原值仍可找到或识别
结构	检查公式、名称、批注、属性、连接、缓存、宏和嵌入对象	PDF 检查属性、批注、附件与文字层；TXT 查编码；图片查边缘	残留路径、身份、原始数据或可打开对象
业务正确性	核对合计、比例、日期、单位、公式依赖和记录数	对照批准的最小数据集	脱敏后无法完成任务，或数据关系被意外改变
产品复核	检查启用类型、误报、遗漏、规则例外与映射权限	检查涂黑、星号或代指结果和上下文	误脱破坏可读性，漏脱留下敏感信息
版本	原件、处理副本和导出源有清晰状态	文件名、大小、时间和接收人一致	验收文件与实际发送文件不是同一个

双层验收特别重要。源工作簿通过检查，只能说明导出来源受控；最终 PDF 在导出时仍可能截断、错页或把批注打印出来。反过来，PDF 页面看似干净，也不能证明你可以把同一个 XLSX 源文件直接发送。两个结论不可互相替代。

常见异常怎样处理？

**工作簿含宏或不明加载项。**不要为了方便先启用宏。记录文件来源，交给有权的 IT 或安全人员检查；如果接收人只需数据或视图，优先从受控环境生成最小静态副本。本文不把宏清理写成脱敏卫士能力。

**Excel 打开正常，WPS 打开后公式或图表变化。**兼容性变化会改变交付内容。不要在一个应用里验收、另一个应用里重新保存后直接发送。用实际生成最终文件的版本复核公式、分页、字体、对象和导出结果，必要时固定客户端版本。

**删除隐藏列后合计变化。**说明该列参与公式或计算。撤回到副本的上一个安全节点，由业务负责人决定保留计算、转值还是重建最小表；不要用手工补一个看似相同的合计掩盖依赖变化。

**断开连接后表里仍有明细。**这符合“连接与已载入数据是两件事”的情况。继续检查查询输出表、数据模型、透视缓存和图表源；不能因为刷新按钮失效就认为数据已经删除。

**PDF 搜索不到原值。**它可能是扫描页或图片文字。放大检查，并在批准的本地环境对分析副本运行 OCR；OCR 处理和保存产生的新文件不能自动替代已冻结交付件。若是复杂扫描表，逐页视觉复核和抽样框选仍必要。

**接收人要求可编辑 XLSX。**脱敏卫士不能把 XLSX 直接变成安全可编辑表格。此时重点转为在 Excel/WPS 中重建最小工作簿，逐项审阅全部源结构，再由业务和安全负责人批准。若无法证明连接、缓存、宏或隐藏对象已收口，就应改谈交付 PDF、图片、TXT 或受控访问，而不是扩大产品承诺。

哪些团队适合用这套流程？哪些不适合？

适合的是：经常把采购台账、客户清单、HR 名册、财务明细、项目计划、审计抽样或案件表格对外共享；源工作簿结构复杂，但接收人通常只需要其中一个视图；希望真实敏感材料在本机识别复核，并为处理任务保留记录的团队。

脱敏卫士在这里的主要角色，是导出后内容的本地脱敏与复核工作台。它的优势不在于冒充 Excel 插件，而在于把规则和 AI/NER 候选、误报取消、遗漏补标、图片框选、输出选择、任务记录与受控还原串起来。对多页 PDF、扫描表和图片，这比只靠经办人记住所有账号、姓名与机构更容易形成一致流程。

不适合把它当成：原生 XLSX 编辑器、公式审计工具、WPS 插件、宏扫描器、外部连接清理器、透视缓存擦除器、财务勾稽验证器或一键合规判断器。接收人必须继续使用公式、数据模型、宏或连接时，Excel/WPS 专业审阅和实际版本测试是主流程；脱敏卫士只能处理另外导出的支持格式。

成本方面，国内版一年版为 199 元，永久版为 399 元，整体成本低于竞品。比较时仍应把席位、订阅或买断、续费、部署方式和实际任务量放在同一口径下，不用无法核验的竞品价格或节省比例替代决策。对于只偶尔处理一张低敏小表的个人，手工建立最小副本并严格验收可能已经足够；对重复外发、多格式和高敏任务，专用复核链的价值通常更明显。

常见问题

1. 把 Excel 单元格填成黑色，算完成脱敏吗？

不算。填充色、白色字体、缩小列宽和形状覆盖都主要改变显示，原值可能仍在单元格、公式栏或复制结果中。应在处理副本中实际删除或替换内容，检查公式与引用，再对最终导出件搜索、复制和视觉反查。

2. 隐藏行列或工作表后，可以直接把 XLSX 发出去吗？

不建议。隐藏内容通常可以取消隐藏，筛选掉的记录也仍在文件中。应先展开并判断这些内容是否参与公式、图表和数据验证，再决定删除、转值、拆分或保留。可编辑 XLSX 的源结构审查比静态交付件更复杂。

3. Excel 或 WPS 表格转成 PDF 后，原数据就安全了吗？

不一定。PDF 可能保留可搜索文字，图片型页面也可能被 OCR；打印区域、隐藏状态、批注设置和对象位置还会影响导出内容。转换只是生成新的待验收文件，应检查页数、范围、搜索、复制、属性、批注、附件和视觉结果。

4. 脱敏卫士可以直接打开和处理 XLSX 吗？

当前不原生支持 XLSX。先在 Excel 或 WPS 表格中清理公式、批注、隐藏结构、名称、连接、缓存、对象和属性，再按用途导出 TXT、文字型或扫描型 PDF、常见图片，进入脱敏卫士的识别、人工复核和输出流程。不要把格式转换理解为源结构已经安全。

5. 给 AI 分析表格时，应该选 TXT、PDF 还是图片？

需要字段级分类、去重或统计时，TXT 通常更直接，但要验证分隔、编码和前导零；需要保留页面与表格视图时可选 PDF；只展示固定区域时可选图片。无论哪种格式，都先生成最小副本并脱敏，再核对所用 AI 服务的上传、留存、权限和模型数据流。

把“看不见”改成“能够证明不该存在”

Excel 和 WPS 表格脱敏真正困难的地方，不是单元格数量，而是同一个文件同时存在数据、计算、协作记录、隐藏结构和导出规则。一个可靠流程应能回答：原件在哪里，谁决定保留字段，哪些结构被展开，为什么选择 TXT/PDF/图片，脱敏候选怎样复核，最终发送的是哪个文件，以及出现争议时怎样回看任务。

如果手头是包含真实财务、人事、合同、客户或项目数据的表格，先在受控副本中完成源结构盘点，再将获批的 PDF、扫描件或图片交给本地桌面端处理。查看脱敏卫士的文档处理能力，把候选识别、人工收口、输出与留痕接入现有 Excel/WPS 交付流程。

本文提供一般性文件处理方法，不替代财务、审计、法律、档案、人事或信息安全专业判断。涉及原件保留、证据价值、会计勾稽、员工数据和对外披露范围时，请由组织相应责任人确认。

相关阅读

• 文档脱敏怎么做：从接收到销毁的完整流程指南
• 文本脱敏怎么做？删除、遮盖、替换、代指与摘要化指南
• 数据脱敏软件怎么选：文档、数据库、日志、测试、媒体与协作平台能力地图