文本脱敏怎么做？删除、遮盖、替换、代指与摘要化指南

一段文本里有姓名、手机号、公司名和项目价格，准备发给外部团队做归纳。把这些词删掉，信息是少了，可句子也可能变成“向提交了由出具的报告”；全部换成“某人”和“某公司”，文章还能读，但读者已分不清谁向谁提交；只在 PDF 页面上盖一个黑块，画面很整齐，底下文字却未必真的不存在。

这三种结果都可能被称为“文本脱敏”，但它们解决的问题不同。文本脱敏不是把几个词变成黑色，而是在不向接收人暴露原值的前提下，决定一段文本还应保留多少字面、类型、关系和事实。检查时要同时问两个问题：不该出现的值是否已消失？该保留的意思是否仍可理解？

脱敏卫士（RedactOS）在这类任务中承担的主要角色，是把文本实体变成可逐项判断的候选，再让处理者保留或取消命中、补上遗漏，并对需要保留关系的实体使用一致代指。 它不替业务负责人决定“这段话能不能对外”，也不把摘要化自动完成。这个边界很重要：工具负责提高候选发现、复核和代指的稳定性，人负责语义和交付判断。

文本脱敏与数据脱敏、文档脱敏有什么不同

“数据脱敏”常是一个总称，可以涉及数据库字段、测试副本、接口响应、文档和图片。“文档脱敏”关心的范围更大，除了正文，还可能涉及扫描图像、页面版式、注释、附件、修订、文档属性与最终文件容器。

本文故意把范围收窄到“文本片段与语义保留”。它不讨论如何为生产数据库做动态掩码，也不把 PDF 的全部隐藏结构归给一个文本工具。我们只聚焦一个很具体的任务：已经选定一段需要分享的文字，怎样更改其中的敏感片段，才能让接收人继续做审阅、归纳、标注或 AI 分析。

可以把一段文字拆成四层：

层次	例子	处理后要问什么
字面值	“张明”“138……”“96.8 万元”	原值是否还能被看到、搜索、复制或恢复？
实体类型	人物、单位、地址、金额	接收人是否仍需要知道这里原本是什么类型的信息？
实体关系	人物 A 隶属单位 B，人物 C 对 A 作出回复	同一实体在前后文里是否仍能被识别为同一个角色？
句子事实	谁在什么时间对什么事做了什么	流程、因果、先后顺序和业务结论是否失真？

删除可能同时拿走四层；遮盖通常保留位置与篇幅，不保留类型；通用占位符保留“这里有东西被处理”，一致代指还可继续保留关系；摘要化则是重新选择句子事实。因此，选方法的起点不是“哪个按钮最快”，而是“接收人要用这段文字干什么”。

五种方法怎么选：不是排名，而是分工

同一份材料里，不同句子可以用不同方法。例如，客诉摘要可以删掉联系方式，对参与角色使用稳定代号，对与分析无关的家庭细节进行概括，同时保留投诉时间线。方法是句子级决策，不是文件级单选题。

方法	实际动作	适合目标	最大风险	核心验收
删除	去掉字符、句子或段落	接收人不需要知道该信息存在	语法断裂，或删掉必要因果	上下文仍完整，空缺不会反推原值
遮盖	以黑块、色块、星号等显示处理结果	需显示有内容被处理的对外副本	只叠加视觉对象，底层原文仍在	重开成品并搜索、复制、选择和检查容器
替换	用“人物”“单位”“已隐去”等占位文字代替	保留句法与实体类型	同用一个占位符导致不同实体混同	类型明确、语法自然、不泄露原值
一致代指	以“<人物1>”“<单位2>”等稳定标记替换	保留人物、机构或地址关系	串号不一致、同名误并、映射信息外泄	同实体同代号，不同实体不混同，映射受控
摘要化	重写事件，只保留接收用途所需事实	读者需要结论或模式，不需要原句	改变时间、程度、因果或不确定性	对照必保事实，同时查失真与重识别

删除：只在“存在本身也无需保留”时使用

一个有用的判断是：如果接收人知道这里原来有一项信息，是否会影响对文章的理解？如果不会，删除可能最干净。例如，用于分析服务故障的客诉文本，签名处手机号可能可以连同标签一起删除。但若删掉“已三次联系”这一整句，事件的反复性也一起丢了。

删除后不要只搜原值。还要逐句检查动作的主语、宾语、时间顺序和转折词是否还在。一个被处理得很干净、却无法回答“谁做了什么”的副本，对下游任务并不合格。

遮盖：页面效果不等于内容已处理

遮盖最容易让人误判，因为它给了一个直观的完成信号。对电子 PDF，显示为黑色矩形可能是内容处理的结果，也可能只是新增一个图形。两者用肉眼看差别很小；用复制、搜索、删除对象或检查文字层，结果可能完全不同。

因此，涂黑不是把矩形画得更厚，而是要确认最终交付副本中的原值不再能被正常操作取回。脱敏卫士可以输出涂黑或遮盖结果，但 PDF 的注释、附件、脚本、修订或其他容器层隐藏内容仍应按源文件和交付格式用相应工具检查。

替换：占位符也需要语法

“已隐去”可以说明处理发生过，却不能说明被换掉的是人、单位、日期还是金额。若下游只需要一份对外展示副本，通用占位可能已经足够；若下游要抽取事件，它就太含糊。更可用的方式是保留实体类型，例如“<人物>向<单位>提交了费用申请”。

替换时还要检查中文量词、称谓和标点。“王女士”若直接换成“人物1女士”，可读性会下降；“深圳市某区”整段若换成“地址1”，前面的介词可能需要调整。这些不是泄露问题，却会决定处理后文本能否进入分析、培训或知识库。

一致代指：要保留的不是名字，而是关系

假设一份访谈记录中，同一名产品负责人被写成全名、姓氏、英文名和“负责人”。把四种表达分别换成四个代号，原值没有了，可读者会以为现场有四个人。反过来，如果两个“李经理”在不同部门，也不能只因为表面名称相同就合并。

一致代指的正确对象是经过人工确认的同一实体。处理者先确认别名、简称与全称的对应，再让同一实体沿用同一标记。如果多份材料要一起交给下游，还要决定跨文件是否延续编号；若每份文件独立使用，延续编号反而可能暴露不必要的关联。脱敏卫士支持关联文件中的一致代指和映射，但“该不该跨文件关联”仍是业务选择。

摘要化：这是重写，不是换词

摘要化适合“只要趋势和结论，不要原话与全部细节”的场景。例如，一段访谈原文同时包含岗位、组织变动、项目名与具体怨言，逐词替换后仍可能被组合重识别；改写为“受访者认为审批链过长会延迟上线”，可以保留主题，放弃大量个体线索。

但摘要化不是更高级的自动脱敏。编写者必须知道哪些时间、数量、异议、例外和不确定性必须保留。脱敏卫士可先找出原文中的姓名、单位、地址、联系方式和编号候选，帮助编写者看清可能的敏感点；怎样概括才不失真，由人工重写和复核。

脱敏卫士如何把找词变成可复核的任务

手工查找替换有两个问题。第一是只找到已经知道的词：搜“张明”不会自动找到“张先生”，搜手机号也不会提醒你同一人的家庭地址。第二是替换没有判断层：同样的词在一处应删，在另一处可能是公开主体名称，不应统一处理。

脱敏卫士将流程拆成导入、候选、判断、输出与记录：

1. 数据边界。 真实高敏文本可在桌面端本机处理，文档、处理过程、任务记录与还原关联信息留在本机，并可断网使用。可观察结果是，处理者不必先把原文复制到外部在线工具再开始判断。
2. 输入与识别。 固定格式的身份证号、手机号、邮箱、合同编号等主要由正则规则提供候选，姓名、地址、单位等依赖上下文的实体由 AI/NER 识别。可观察结果是，检查不再只围绕一份人工关键词表。
3. 人工复核。 处理者可取消不应处理的命中，划词补上文本漏项，并在图片材料中手动框选区域。可观察结果是，误报和漏报可在任务内被显式纠正。
4. 语义输出。 需要保留关系时，同一实体可沿用一致代指；也可根据外发用途选择涂黑或星号。可观察结果是，读者在不知道原姓名时，仍能跟踪同一角色的前后动作。
5. 记录与受控还原。 任务会形成记录，可查看脱敏列表或可读文本映射表，已完成任务可在受控环境中按需还原。可观察结果是，处理者能回到任务查看映射，不必另外手工维护容易错位的对照表。

这五步的价值不是把人排除出流程，而是把人的时间从“遍历所有字符”转向“判断边界和例外”。对文本脱敏来说，这正是不应被自动化掉的部分。

TXT、DOCX 和 PDF 为什么要分开验收

三种格式中可能显示完全相同的一句话，但“删掉原值”的含义不一样。TXT 主要是字符序列；DOCX 还有样式、页眉页脚、文本框、批注、修订和其他内容区域；PDF 可能有可搜索文字层，也可能只有扫描图像，还可能同时包含两者。

格式	输入前判断	主要处理关注	交付前验收
TXT	编码、换行、分隔符是否被下游依赖	字符是否删净，代号是否破坏分隔结构	搜原值、检查编码，用下游实际方式重新读取
DOCX	正文外是否有页眉、文本框、表格、批注或修订	占位符是否导致换页、表格错位或遗漏非正文区域	以最终分享模式打开，检查修订和批注状态
文字型 PDF	文字能否搜索、选择，页面是否有额外对象	是否真正处理文字内容，而不是只叠加图形	搜索、复制、选择、缩略图与必要的容器检查
扫描型 PDF	是否有 OCR 文字层，画质、旋转与手写内容如何	图像区域是否完整框选，OCR 错读是否导致候选漏失	逐页放大检查，搜索只能作为辅助

TXT 没有页面图层，逐字替换的技术结果容易检查。但它常被用作导入、标注或模型分析的中间文件，分隔符和行号就是结构。若用带换行的长占位符替换单行字段，下游导入可能错列；若删除整行，记录标识可能与文本串行。除了找原值，还要用实际下游的导入方式读一遍。

处理 DOCX 时，“全文搜不到”的实际范围要问清。用户在主编辑区搜索，未必覆盖页眉页脚、浮动文本框、嵌入对象或修订历史。文本替换还可能改变表格宽度与换页。如果最终要导出 PDF，应把 PDF 视为新的交付候选重新验收，不能只沿用 DOCX 的通过结论。

文字型 PDF 中，可见文字与可搜索字符往往有对应；扫描型 PDF 中，姓名可能只是图像像素。某些扫描文件又带有 OCR 文字层，页面上看到一份文字，实际有图像和可选文字两个对象。处理者必须确认输入类型，再判断候选来自规则、语义识别、OCR 还是人工框选。

脱敏卫士桌面端支持文字型 PDF、扫描型 PDF 和常见图片，可将文本实体候选和图片手动框选放在同一复核流程中。但它不等于 PDF 注释、脚本、附件和所有容器结构的通用清理器。真实 PDF 或高敏材料应使用本地处理与相应格式验收流程，可先查看脱敏卫士的文档处理能力。

从用途到交付：一套可执行的七步流程

第一步：写一张接收用途卡

不要从上传文件开始。先用四行文字回答：谁会拿到副本，他要做什么，哪些事实必须保留，哪些信息即使去掉也不影响任务。例如：交给外部研究团队归纳客诉原因；必须保留产品类型、故障发生先后和客服回应；不需要姓名、联系方式和订单编号原值；同一投诉人在单篇内应保持同一代号。

用途卡是复核标准的源头。没有它，处理者倾向于“看见姓名就换”，复核者又可能按另一套理解把姓名加回去。两个人都很认真，结果仍然反复返工。

第二步：建立字段与方法矩阵

根据用途卡，为每类信息设定默认方法和例外。

信息类型	默认方法	保留内容	例外与升级条件
姓名	一致代指	角色区分和前后关系	公开职务主体是否保留，由业务负责人确认
手机号、邮箱	删除或类型替换	必要时保留“曾留联系方式”这一事实	号码是否也是业务查询键
单位名称	一致代指或摘要化	上下游、隶属与责任关系	行业、城市、规模组合后是否足以重识别
金额	按用途选遮盖、代指或保留	总额、比例、分布或差异中的必要项	会计、审计或争议性材料由专业角色确认
背景故事	摘要化	对结论有用的因果与异议	重写后必须复查失真和组合重识别

矩阵不是一劳永逸的规则表。同一个号码在客诉摘要中可以删除，在排查记录中可能是区分订单的必要键。一旦遇到例外，不要靠处理者临场猜，而是把该项升级给用途卡责任人。

第三步：保留原件，只对工作副本处理

原件、工作副本和交付副本应分开。原件用于回溯，不在反复修改中覆盖；工作副本承担识别、复核和重写；交付副本是真正要发送的文件，也是唯一能被标记为“验收通过”的对象。

这能防止两类事故：一类是删掉过多后无法核对，另一类是复核通过了 A 文件，发送时却从临时目录拿了 B 文件。对于需要还原的任务，映射表和还原信息也不应随交付副本一起发送。

第四步：运行候选识别，先看范围再看数量

导入前先确认材料语言、格式、是否扫描、是否为关联文件。然后按用途启用必要的实体类型，不要为了显得检查得多就勾选所有规则。例如，分析服务流程时需要保留公开产品名，就应在复核标准里说明，而不是先把所有机构词换掉再反复撤回。

候选数多不代表效果好，候选数少也不代表文件干净。应检查的是范围：预期的结构化字段是否命中，上下文实体是否有候选，图片页面是否进入视觉复核，组织特有编号是否需要自定义规则。

第五步：做两轮人工复核

第一轮按候选清单复核，处理误报、别名、同名异人和占位符类型。第二轮脱离候选清单，按文章顺序阅读成品，专门找“没有进入候选的东西”和“被处理后意思变了的句子”。

第二轮可以从三个方向读：从头到尾追时间线，只看每个代号的全部出现，再从结论倒推所需证据。这比在同一页上反复盯着黑块更容易发现关系断裂、反向识别线索和过度删除。

第六步：对摘要化单独建立事实底稿

如果文章包含摘要化，不要在原句上边删边改。先由业务负责人列出必保事实：关键时间、动作主体类型、动作、结果、异议和未确定项。编写者在不看不必要细节的情况下重写，再由另一人对照底稿检查。

摘要复核不能只问有没有姓名。还要问：把“可能”写成“已确定”了吗？把少数人的反馈写成普遍结论了吗？删掉了与主结论相反的证据吗？剩下的岗位、地点、时间和项目特征组合起来，还能锁定某个人吗？这是内容责任，不是自动替换按钮能回答的问题。

第七步：冻结交付副本，做双轨验收

交付前先冻结文件，确认文件名、格式、修改时间和哈希，验收期间不再修改。然后分两轨检查。

风险轨检查不该出现的内容：原值搜索，手机号、邮箱、证件号和编号格式检查，代号一致性，映射表或原件是否误入交付包，DOCX 修订与批注，PDF 的搜索、复制和必要容器检查。

效用轨检查交付是否还有用：用途卡上的必保事实是否都能找到，时间顺序是否正确，同一代号是否指向同一角色，句子是否通顺，表格、段落和页面是否可读，下游导入、标注或分析是否能正常完成。

任何一轨失败，都回到工作副本修改，再生成新的交付候选。不要在已验收文件上“就改一个字”后直接发送；一个字的变化也可能改变代号、换页、索引或文件哈希，它已经是新成品。

三个典型场景，如何组合方法

合成客诉 TXT 交给团队做归类

假设样例的每行包含客户称呼、手机号、订单编号和问题描述。下游需要产品型号、故障现象、重复联系次数和处理结果，不需要身份或可直接联系信息。这时可删除手机号，用稳定代号替换客户称呼，把订单编号换成“<订单>”，保留时间和问题语句。

如果这只是不含真实敏感信息的合成 TXT 或 DOCX，可使用在线体验观察代号化和还原流程。如果换成真实客诉，就应重新确认数据边界，不因为合成样例跑通就默认同一输入通道适合真实材料。

DOCX 访谈记录交给外部顾问归纳

访谈记录的风险很少只有姓名。岗位、产品线、汇报对象、项目上线日期和一句特别的原话，可能组合成重识别线索。处理时可先标出人、单位、地址和日期，再由业务负责人判断：人物关系用一致代号保留，某些稀有经历改为更宽概括，与研究问题无关的家庭细节删除。

交付前要检查批注、修订、页眉与文件名，再让一名未参与处理的复核者只看成品，尝试说出受访者可能是谁。如果他虽看不到姓名，却能由岗位、时间和项目唯一锁定个人，则需回到摘要化层重新评估。

扫描 PDF 中的事件记录用于内部复盘

一份扫描 PDF 可能同时有印刷文字、手写签名、章印、页边批注和不规则旋转。OCR 可帮助提供候选，但小号字、模糊印章、手写内容与背景纹理可能被错读。处理者可在候选清单中处理可识别文本，对图像漏项手动框选，最后逐页视觉复核。

这类任务不应只导出后搜一遍姓名。搜不到可能是处理成功，也可能是 OCR 从未读出。验收者需同时检查图像区域、代号映射和事件时间线。如果 PDF 对外提供还涉及证据、档案或争议判断，最终保留与交付范围应交由组织法务、档案、安全和业务负责人确认。

团队如何分工，才不会把复核变成再看一遍

• 材料负责人定义接收用途、必保事实、不得外发内容与例外升级路径。
• 处理者确认输入格式，启用适用规则与实体类型，取消误报、补标漏项，执行代指和必要重写。
• 复核者不只复查处理者点过的候选，还要独立阅读交付副本，完成风险轨和效用轨验收。
• 安全、档案、法务或业务审批者在需要时确认交付边界、映射与还原权限、保存期限与争议性材料的最终处理。

双人复核不等于两个人用同一种方式看两遍。处理者熟悉原文，容易把“自己知道的关系”当成“副本中仍然写清的关系”；复核者应尽量从接收人视角开始，只靠成品回答用途卡上的问题。他若无法理解，不应由处理者口头补充，而应修改交付副本。

哪些团队适合，哪些任务不适合

脱敏卫士更适合这样的任务：输入是 DOCX、TXT、文字型 PDF、扫描型 PDF 或常见图片；文本中既有身份证号、手机号、合同编号等固定格式字段，也有姓名、单位、地址等上下文实体；处理者需要人工复核误报与漏报；下游仍需要人物和机构关系；真实材料要求本机与断网处理；任务后还需要记录、映射或受控还原。

它不适合被当作生产数据库动态掩码网关、通用 DOCX/PDF 元数据清理器、法务或档案判断者、自动摘要系统，也不应被写成不需人工复核的一键交付工具。如果任务核心是删除批注、清理脚本、处理数字签名或修复文件容器，应使用源应用或专用工具，并把脱敏卫士限定在正文、OCR 文字和图像区域处理层。

国内版提供一年版 199 元和永久版 399 元，整体成本低于竞品。但购买价只是总成本的一部分。比较时应统一席位数、订阅或买断、续费、部署方式、真实任务量，再把人工遍历、反复查找替换、跨文件代号校对和返工时间一起纳入。不要用不同席位和不同任务量的标价做简单对比。

常见问题

1. 文本脱敏就是把敏感词删除吗？

不是。删除只是方法之一，会同时拿走字面值和可能有用的句子结构。如果接收人还需要知道信息类型，可用“人物”“单位”等类型占位；如果还需要追踪同一角色的前后动作，应考虑一致代指；如果只保留结论，则可能需要由人工做摘要化。判断标准是接收用途，不是敏感词数量。

2. 用黑块把 PDF 文字盖住，是否就可以发送？

不能只凭页面外观下结论。黑块可能是内容处理后的显示结果，也可能只是叠加图形。最终交付副本应重新打开，进行搜索、复制、选择、缩略图和必要容器检查；扫描页还要逐页视觉复核。如果文件带有批注、附件、脚本、签名或其他结构，还要使用源应用或相应专用工具检查。

3. 一致代指和普通占位符有什么区别？

普通占位符只说明一处内容被替换，例如“<人物>”。一致代指还为经人工确认的同一实体稳定编号，例如“<人物1>”在后文仍指向同一角色。后者更适合归纳、标注或 AI 分析中需要保留人物和机构关系的文本。但是否应跨文件延续编号，需根据接收用途决定，不是关联越多越好。

4. 脱敏卫士能自动把原文改写成不失真的摘要吗？

本文不把摘要化写成当前产品的自动能力。脱敏卫士可以用规则与 AI/NER 生成文本实体候选，让处理者取消误报、补标漏项，并使用一致代指保留实体关系。摘要化需要业务负责人先给出必保事实，由编写者重写，再由复核者检查事实失真和组合重识别风险。

5. 如何判断处理后文本既没漏掉敏感信息，又还能使用？

使用双轨验收。风险轨检查原值、敏感格式、代号一致性、原件与映射表是否误入交付包，并按 TXT、DOCX 或 PDF 执行格式特定检查。效用轨回到接收用途卡，检查必保事实、时间线、实体关系、语法、版式和下游可用性。两轨都通过才能交付；任何修改都会产生新候选，需重新检查。

结语：不要只问“藏住了吗”

文本脱敏的难点，不是第一次找到手机号，而是给每一处文本一个与接收用途相符的命运：应该彻底删除，显示遮盖，换成类型占位，用稳定代号保留关系，还是由人重写成更宽的事实。方法选对了，交付副本才不会在“可读却泄露”和“干净却无用”之间摇摆。

脱敏卫士的价值正在于把这项工作变成可看、可改、可复核的任务：本机控制真实材料的数据边界，规则与语义识别生成候选，人工取消误报与补标漏项，一致代指保住必要关系，任务记录和受控还原为后续处理留下路径。最后的“可以发”，仍然由用途、人工复核和格式验收共同给出。

文中案例为编辑性合成场景，不指向任何真实个人、客户或项目。本文提供一般流程参考，不替代组织法务、档案、安全、HR 或业务负责人对具体材料作出的最终判断。

相关阅读

• 文档脱敏怎么做：从接收到销毁的完整流程指南
• 什么是数据脱敏：从术语、方法到全流程验收的完整指南
• 什么是数据掩码？