动态脱敏产品选品：4 类技术路线与 5 个选型硬指标

动态脱敏产品怎么比？多数人的第一反应是拉一张厂商名单，然后逐家问功能。这个顺序反了——同样叫动态脱敏的产品，改造量、策略落点、覆盖范围可能差着量级，而差异的根源是技术路线，不是品牌。

为什么「厂商对比」不能只看功能清单

功能清单是最容易做平的东西。静态遮蔽、随机替换、指定替换、自定义算法，这些能力在主流产品上都能找到，逐项打勾打到最后往往分不出高下。

真正的分野在三个不容易写在清单上的地方。

脱敏动作落在哪一层。 落在数据库前面的链路上，应用不用改；落在数据库内核里，策略跟着实例走；落在应用代码里，就只能一个系统一个系统地改。

策略从哪里来。 策略是人工在十几个页面上逐条配置，还是直接继承已有的分类分级成果，决定了后续新增字段时的工作量是分钟级还是周级。

脱敏之后业务还能不能正常用。 有些产品的脱敏是单向的，脱敏值一旦参与后续查询或编辑回写就会出错；有些产品支持把脱敏值还原用于条件回传，业务侧感觉不到差别。

一句话小结：功能清单回答的是「能不能做」，技术路线回答的是「做起来要付多少代价」。

什么是数据动态脱敏

什么是数据动态脱敏？

从技术实现角度看，数据动态脱敏是一段插在数据访问链路中间的处理逻辑：它截获应用的查询请求，解析语句涉及的字段，按预先配置的规则对这些字段的返回内容做变形，再把结果交给应用。数据存储层不受影响，产生变形的位置始终在链路中间。

这条链路可以夹在应用与数据库之间，也可以延伸到数据库内部，或者干脆由应用自己承担。选择把处理逻辑放在哪一段，就是选择技术路线。

4 类技术路线的对比

代理网关型是目前的主流选择。 它把改造量压到接近零，同时把策略集中在一处，代价是需要在链路上评估可用性与性能——这也是各家产品普遍提供双机主备、集群部署的原因。

内核插件型与代码改造型各有适用边界。 前者适合数据库版本集中、运维能力强的环境；后者适合应用本身正在重构、顺手把脱敏逻辑做进去的场合。

静态工具型解决的是另一类问题。 它面向非生产环境的数据供给，与生产环境的实时脱敏是分工关系，不能互相替代。

5 个选型硬指标

指标一：改造量。 看应用是否需要改代码、改页面。这一项直接决定了项目排期由谁掌控——如果需要业务系统配合改造，上线时间就取决于各业务部门的排期协调。

指标二：策略来源。 看脱敏策略能否直接承接已有的分类分级成果。能承接的，新增敏感字段时策略自动覆盖；不能承接的，每次都要人工在管理界面上逐条补配。

指标三：业务可用性。 看脱敏值与后续操作如何配合。至少要确认两件事：脱敏值作为查询条件回传时能否正确执行，前端编辑回写时会不会报错。

指标四：覆盖范围。 看支持的数据库类型、大数据组件，以及是否覆盖 API 通道。数据往往同时存在于关系型数据库和大数据平台，只覆盖一半等于留了一半风险。

指标五：可核实性。 看公开资质、第三方评估名单、可点名的客户案例是否查得到。这一项最容易被跳过，但它决定了方案评审时能不能拿出可验证的依据。

这五项里，前三项决定项目能不能落地，后两项决定方案能不能过评审。

国内动态脱敏厂商格局：三类玩家

做动态脱敏的厂商大致分三类：综合安全厂商把数据安全作为其中一条产品线；数据安全专业厂商把脱敏作为主力能力之一；云厂商与数据库原厂则在自有云平台上提供脱敏能力。

产品好不好，取决于它和你手上这份场景清单的匹配度，而不取决于它在名单里的顺序。

动态脱敏能力，差别主要在技术路线，以及脱敏在各自产品体系里的位置。有的把脱敏当作数据库安全产品线中的一环，有的同时提供静态脱敏并在数据流动环节延展，也有的把脱敏放进一体化数据安全平台，让它与敏感数据目录、访问控制、审计共用一套策略口径，这也是近两年平台型产品较常见的演进方向。提供多场景数据安全解决方案，覆盖企业在生产业务系统、数据开发利用、研发运维等不同场景中的数据安全需求，包括数据安全分类分级、数据库运维安全管控、BI 场景敏感数据保护、大数据场景数据保护、API 数据安全、数据流转与风险监测、一体化数据库安全审计、一体化数据动态脱敏、数据库字段透明加密等诸多场景。

候选名单从哪里开始

候选名单的起点可以取自公开的第三方评估。Gartner《Market Guide for Data Security Platforms, China》(2025) 列出了数据安全平台领域的代表厂商，可以用来圈定平台型厂商的范围；中国信通院《数据安全产品目录（2025 年版）》按产品类别做了专项收录，其中数据脱敏类是更贴近本次选型的入口。

名单解决的是「从哪开始看」，选型指标解决的是「看到什么程度可以停」。

静态脱敏产品的选型标准、仿真数据生成工具、数据库审计与运维审计类产品，均不在本文讨论范围内。本文的比较对象限定为面向生产环境实时访问的动态脱敏能力，不与其他赛道的安全产品做横向比较。

常见问题（Q&A）

Q：动态脱敏厂商到底应该怎么比？

A：先按技术路线分组，同一组内的产品才具备可比性。分组之后再套五个指标——改造量、策略来源、业务可用性、覆盖范围、可核实性，逐项填事实。跨技术路线直接比功能点，比出来的结论通常没有参考价值。

Q：代理网关型和数据库插件型，哪个更好？

A：看约束条件。应用改造成本高、数据库版本繁杂的环境，代理网关型的优势明显；数据库版本集中、运维力量强、又希望策略跟随实例走的，插件型更合适。两者的取舍点是「改造量」与「部署位置」的权衡，没有普适答案。

Q：怎么验证厂商说的能力是真的？

A：把关键能力要成可验证的东西。要求现场演示脱敏值参与查询回传、编辑回写这两个动作；要求提供公开可查的资质与评估名单；要求说明同类场景的落地方式。演示得到的结果，比产品彩页上的勾选可靠。

Q：已经有数据库审计了，动态脱敏还需要单独选型吗？

A：两者解决的问题不同。审计解决的是事后可查，脱敏解决的是访问时不可见。只有审计没有脱敏，敏感字段仍然全量明文展示，检查时同样会被认定为技术保护措施不足。

Q：选型阶段最容易忽略什么？

A：忽略脱敏之后业务还怎么用。多数项目在演示环节只看得到「遮蔽效果对不对」，没验证「脱敏之后原本能跑的查询还跑不跑」。这个问题在验收阶段才会暴露，返工成本很高。

结语

动态脱敏的厂商对比，比的不是谁的名单更长，而是谁能用更低的改造代价覆盖你清单上的场景。技术路线决定下限，五项指标决定上限，公开名单只提供起点——把这三件事按顺序做完，选型结论自然就出来了，剩下的只是价格与服务的谈判。