诊断记录与升级
日志与截图怎样去除账号和设备标识
保留系统状态和错误文字，删除个人和硬件标识。 本文给出可复核步骤、状态边界、脱敏记录方法与复核路径。
移动日志与截图应保留系统状态和错误文字，同时删除账号与硬件标识。可保留操作系统大版本、浏览器大版本、匿名设备类别、网络类别、时间、错误代码和复现步骤；应移除用户名、头像、通知内容、手机号、邮箱、设备名称、序列号、广告标识、完整IP、Cookie和令牌。处理时先复制到受控位置，按字段清单遮盖，再复查截图边缘、状态栏和分享预览；日志中同一敏感值使用一致占位符，便于看出重复而不能还原。若字段是否敏感不明确，标UNKNOWN并默认删除。脱敏不能裁掉错误发生阶段、权限名称或必要时间。发布版本不包含远端地址或会话路径。这个流程让设备、网络与权限结果仍可比较，又不会把排障资料变成个人档案；本文不要求用户提供凭据或完整设备日志。发布前可在无网络环境下打开脱敏副本复核，确认遮盖层已真正写入图像，而不是可被移除的界面标注。
移动截图与日志的脱敏要同时保住诊断阶段、错误文字和时间顺序，又删除账户与设备身份。可保留系统大次版本、浏览器大版本、匿名设备类别、网络类别、错误码、权限名称和复现步骤；应移除头像、通知、手机号、邮箱、设备名称、序列号、广告标识、完整地址、Cookie与令牌。处理应在受控副本上完成，并检查状态栏、键盘建议、分享预览、文件名和图像元数据这些常被漏掉的位置。
先制作敏感字段清单
取证前列出账号类、设备类、网络类、位置类、会话类和旁观者信息六组字段。清单决定要裁剪什么，而不是拍完后凭感觉遮挡。
未知字符串若长度或格式像令牌，默认删除并标注类型UNKNOWN。诊断字段与身份字段重叠时，改用粗粒度类别。字段清单可按identity、contact、hardware、network、session、bystander六组建立，并给每组一个替代规则。设备名称替换为“手机甲”，地址替换为网络类别，时间从秒级泛化到分钟。错误码如果含会话片段，只保留稳定前缀。无法识别的长串默认视为session类。
- 六组敏感字段已逐项检查
- 可疑长串默认删除
- 必要信息采用粗粒度替代
截图只覆盖症状所需区域
画面应包含错误文字、页面边界、必要的时间与触发控件，不需要整张桌面。通知横幅、头像、输入法候选和后台缩略图先排除。
若状态栏能暴露运营商或精确位置线索，可裁掉并在文字记录中写大致时段。多张图按匿名序号排列，不用原文件名。截图构图先从最小矩形开始：保留错误框、必要按钮与页面边界，不把整屏作为默认。状态栏的时间若对序列重要可保留分钟，运营商与电量细节裁掉。键盘出现时要检查候选词、剪贴板预览和自动填充提示，它们常泄露姓名或账号。
- 症状区域足以理解事件
- 状态栏和键盘信息已处理
- 文件名不含个人线索
日志按字段而非整段发布
从日志中抽取时间、阶段、错误码和匿名动作，删除用户名、设备名、完整地址、路径参数与请求头。不要提交整份系统日志。
同一敏感值用稳定占位符表示重复关系，例如账户甲，但占位符只在本任务有效。行间上下文不足时宁可保留UNKNOWN。日志抽取应由允许列表驱动，只取event_time、stage、error_class、page_alias和anonymous_device。其余字段默认不出现在副本。完整请求头可能含Cookie与令牌，完整路径可能含个人查询，因此不可整段粘贴。行与行需重复关联时用局部占位符。
- 只抽取诊断必需字段
- 完整请求头不会出现
- 占位符不跨任务复用
确保遮盖真正写入图像
使用会把遮盖像素固定到副本的方法，并重新打开导出文件确认。可移动标注层、透明笔刷或仅在编辑器预览中的方块不算完成。
处理后尝试复制文字、调整亮度和查看缩略图，确认原内容不会重新显现。原件仍由设备所有者控制，不上传共享空间。图像固化测试可以在导出后重新打开，尝试选择遮盖区域、复制文字、查看缩略图和提高亮度。任一方法能看到原文，副本作废。简单在预览器上画可移动黑框不够；通过后给文件增加redaction_checked_at，不保留编辑工程中的原层。
- 遮盖层已固定到副本
- 缩略图和文字层完成复查
- 敏感原件保持本地
删除图像和文件元数据
截图或照片可能携带设备型号、拍摄时间与位置。共享副本应通过可信系统功能导出，并检查属性页只保留必要时间范围。
无法核实元数据时，可改为重新截取脱敏副本或只提交文字摘要。不要安装未知清理工具获得“完全删除”承诺。元数据检查包括创建工具、设备型号、位置、原文件名和精确拍摄时间。若系统不能确认已清除，可用无敏感背景的再次截屏生成新副本，或只提供文字表。不要用陌生清理器换取“完全匿名”承诺。原件留在设备所有者掌控。
- 设备与位置元数据已清除
- 时间只保留必要粒度
- 无法确认时改用文字摘要
进行组合重识别测试
单个字段看似安全，但精确型号、秒级时间、稀有系统版本和网络名称组合后可能指向个人。复核者应尝试从公开副本反推真实设备。
若能够缩小到特定使用者，就进一步泛化时间、版本和网络类别。诊断价值不足以抵消身份暴露时，删除附件只交文字。组合重识别演练让复核者只看共享副本，尝试用稀有系统版本、精确时间、网络名称和设备外观锁定个人。若能缩小范围，就继续泛化。旁观者头像、群组名称和通知文字即使与故障无关也会组合识别，必须在第一轮就移除。
- 多个准标识符联合审查
- 可反推时继续泛化
- 隐私风险高则取消附件
设定保留期限和销毁证明
脱敏副本只保存到诊断交接结束或约定期限，原始敏感图和临时导出更早清理。记录保留者和删除日期范围。
最终核对共享材料无账户、硬件编号、完整地址和令牌，且仍能看出症状、阶段与顺序。通过仅表示披露最小化，不判断故障原因。保留计划区分原件、工作副本和最终脱敏件。原件不离开设备，工作副本在核对完成后删除，最终件只留到交接期限。销毁记录仅写匿名文件编号、类型和时间范围。若最终件无法支持错误阶段判断，就改用人工抄录，而不是恢复身份字段。示例检查中，一张截图已遮住头像，却在分享预览保留原图缩略；该副本必须作废并重新导出。另一段日志删除邮箱但保留完整家庭无线名称与秒级时间，组合后仍可识别，应泛化为“个人无线”和分钟范围。最终验收随机搜索常见邮箱符号、长令牌模式、地址格式和设备编号前缀；搜索无结果后仍需人工看边缘与键盘区域。验证记录不保存被发现的敏感原文，只写字段类别。若脱敏会删掉判断阶段所需的错误码，可保留错误码类别与前四位，其余统一替换，并在说明中写明转换规则。
- 临时材料有明确删除时点
- 共享副本完成最终扫描
- 保留内容仍支持复现
