#opg $OPG 团队准备把客户回访材料放进请求，姓名已经删掉，录音时间、城市和产品型号却还在。审核人没有只看正文，先追问这些元数据是否真的应该进入请求。
隐私风险常常不在姓名本身。城市、时间、型号和回访内容组合起来，熟悉业务的人很可能重新拼出具体客户。
用 @OpenGradient 的身份和内容分离思路看，要把身份线索、内容线索、元数据边界和网关分工拆开。它提供的是输入前的分层检查路径。
这不能单独消除反推身份的可能，也不代表材料可以原样提交。中继和 TEE 网关解决请求路径中的一部分，输入前的材料判断仍要人来做。
更稳的第一步，是把回访内容拆成问题类型、事实描述和可识别线索。产品型号如果不影响判断，就先抽象；时间和城市能压缩，就不要保留完整组合。
如果后续需要复核具体事件，再补最小必要字段，并说明谁能看到。这样既保留判断依据，也不把客户轨迹一次带进去。
下次处理回访材料，别只删姓名。先列身份线索、内容线索和时间调用量，再决定哪些材料进入请求。
材料边界清楚，客服后面解释也有底，不会只剩一句已经匿名。如果后面需要复核，审核人也能说明哪些元数据被压缩，哪些事实被保留。客户回访不是只看正文，时间、城市和型号同样会暴露轨迹，这些字段越早拆开，后面越少补救。审核人追问元数据，不是为难流程，而是防止客户身份从组合字段里重新出现。回访材料越细，越要先拆线索。复核也能少绕回原始录音。客户材料边界也更稳。元数据边界写清后，复核人能先看保留字段和压缩字段，处理人交接时也不用回到原始材料里找线索。
隐私风险常常不在姓名本身。城市、时间、型号和回访内容组合起来，熟悉业务的人很可能重新拼出具体客户。
用 @OpenGradient 的身份和内容分离思路看，要把身份线索、内容线索、元数据边界和网关分工拆开。它提供的是输入前的分层检查路径。
这不能单独消除反推身份的可能，也不代表材料可以原样提交。中继和 TEE 网关解决请求路径中的一部分，输入前的材料判断仍要人来做。
更稳的第一步，是把回访内容拆成问题类型、事实描述和可识别线索。产品型号如果不影响判断，就先抽象；时间和城市能压缩，就不要保留完整组合。
如果后续需要复核具体事件，再补最小必要字段，并说明谁能看到。这样既保留判断依据，也不把客户轨迹一次带进去。
下次处理回访材料，别只删姓名。先列身份线索、内容线索和时间调用量，再决定哪些材料进入请求。
材料边界清楚，客服后面解释也有底，不会只剩一句已经匿名。如果后面需要复核，审核人也能说明哪些元数据被压缩，哪些事实被保留。客户回访不是只看正文，时间、城市和型号同样会暴露轨迹，这些字段越早拆开，后面越少补救。审核人追问元数据，不是为难流程，而是防止客户身份从组合字段里重新出现。回访材料越细，越要先拆线索。复核也能少绕回原始录音。客户材料边界也更稳。元数据边界写清后，复核人能先看保留字段和压缩字段，处理人交接时也不用回到原始材料里找线索。