Dbmask

发现、遮蔽并验证 SQL 数据库中的敏感数据

AI编程开发部分免费

访问官网 ↗

Dbmask 是一款开源工具，用于发现 SQL 数据库中包含敏感数据的列，用真实的确定性假数据遮蔽它们，然后逐行验证遮蔽是否真正生效——一套可审计的扫描→遮蔽→验证工作流，专为制作安全的数据库副本而设计。

生产数据经常泄露到管控较弱的地方：开发和测试系统、演示环境、分析仓库、AI 流程等。Dbmask 用于复制数据的那一刻：它找到敏感列，用一致的假数据重写它们，然后逐行检查自己的操作。

敏感列自动发现 — 通过模式匹配和统计推断自动识别含敏感数据的列（邮箱、姓名、电话、身份证等），无需手动列举。
确定性假数据遮蔽 — 同一种子生成的遮蔽数据在多次运行中保持一致，确保外键关系和参照完整性不被破坏。
逐行验证（Validate） — 遮蔽后执行严格验证，逐行比对原始值与遮蔽值，任何不一致都会导致退出码非零，保证数据安全。
干运行预览 — dbmask mask --config dbmask.yaml 先预览变更（原始值显示为 ***-**），确认无误后再加 --apply 真正写入。
CLI 与 Python API 双接口 — 既可通过命令行与 Shell 脚本集成，也可作为 Python 库在代码中调用。
多数据库支持 — 支持 SQLite、PostgreSQL、MySQL 等主流 SQL 数据库，干运行完全不写磁盘。
完整可审计性 — 所有操作均留下记录，遮蔽配置可版本化管理，满足合规要求。

Dbmask 的核心设计原则是"只读发现、写操作需显式授权"：

发现阶段（scan）：连接数据库，分析每列的数据分布与模式，输出敏感列候选清单，人工复核后方可进入遮蔽。
遮蔽阶段（mask）：只有在传入 --apply 标志时才真正写入；无主键列无法原地遮蔽时会大声警告而非静默跳过。
验证阶段（validate）：逐行比对行数、Schema 和每个遮蔽后的值，任何不符立即失败（--strict 模式），确保验证是真正的数据出口关卡。

所有敏感操作默认不泄露原始值（--show-values 才会显示），干运行无副作用，验证报告仅包含形状脱敏后的样本。