寓言
被涂黑的姓名和加过扰动的总账
码头账房每月要把交易记录交给商会研究行情。第一位账房很谨慎，把账本上的姓名、电话、住址全涂黑，客户编号也换成假号。账页看起来干净了，伙计们便把明细送出去。
商会很快发现，某些客户仍能被认出来。一个人在每月最后一天买固定数量的稀有药材，金额和时间极特别，即使姓名被涂黑，熟悉市场的人也知道是谁。账房这才明白，遮住最显眼的字，不会抹掉整条行为痕迹。
第二位账房采取另一种办法。他不交明细，只公布每类货物的总量、均价和趋势，还在数字里加入很小的扰动。单个客户多买或少买，外人难以从总数变化倒推出他的行为。
商人们起初不满。有人想查每一笔异常交易，第二位账房摇头，只给群体统计。他说，若问题必须回到个人明细，就要走更严格的授权；公开报表只回答市场整体，不回答某个人做了什么。
两种办法各有位置。涂黑字段后的明细适合内部排障、客服核验和受控审计，但还要防重识别；加扰动的总账适合公开趋势、研究报告和仪表盘，却不能替代逐笔业务处理。
有一年，商会把“已脱敏明细”当成可公开数据发布，结果几位大客户被市场猜出采购计划。后来他们改规程：明细层先做遮蔽和最小化，统计层再按隐私预算发布，能公开到什么粒度提前写清。
码头账房从此不再说“名字涂黑就安全”。他会先问资料要给谁、用来回答明细问题还是群体问题、外人是否能用旁路知识反推。隐私保护的强度，藏在这些问题里。 新学徒入行时，账房会让他做两道题：先遮一页明细，再判断遮完后谁还能被猜出；再发布一张总表，看误差是否仍能服务决策。若答案要开放给外部反复查询，还要限制次数，免得别人用许多小问题逼近个人。账房宁可少给一个明细，也不让公开接口变成窥探工具。