HKBN 字段加密后对象能力适配 PRD

版本：v0.1 创建日期：2026-05-13 需求来源：客户沟通 / 研发沟通 / 竞品调研 / 本地代码核对 优先级：P0 文档状态：草稿

一、需求概述

1.1 项目背景

背景结论： HKBN 已提出字段加密申请，并提供了 Account、Contact、Lead 等对象上的电话类字段范围。元数据团队正在推进字段加密执行和历史数据处理，但在沟通过程中发现，字段一旦启用加密后，部分 PaaS 对象基础能力仍可能引用这些字段，例如计算字段、验证规则、布局规则、筛选、排序、ES 同步、BI 分析等。因此本需求需要紧急补齐加密字段对对象能力的屏蔽和降级规则，保障 995 上线范围可控。

本需求不重新设计字段加密执行机制，也不把字段加密做成客户自助配置能力。重点是：当字段已经由元数据/后台标记为加密字段后，平台哪些对象能力必须屏蔽、哪些能力可以降级支持、哪些链路需要避免明文扩散。

HKBN 本次申请的待加密字段范围：

1.2 系统现状

当前字段加密能力不是客户可自助配置的字段属性，也不支持通过 APL 或 API 主动调用加密函数。更准确地说：只有被后台/元数据标记为加密的字段，才会在写入时由系统自动加密保存，读取时由系统自动解密返回。 普通字段不会默认加密，业务方也不需要、不能通过 APL/API 自行调用加密能力。

字段加密的执行逻辑属于既有能力和交付现状，本需求不重新设计字段加密执行链路：

代码层已存在 mask_field_encrypt、__encrypt、读取解密、列表筛选与排序限制等基础逻辑。主要依据：

当前缺口是：字段一旦被标记为加密字段，仍可能被对象基础能力引用，例如计算字段、统计字段、验证规则、布局规则、场景排序、筛选、ES 同步、BI 分析等。需要从产品层明确哪些能力必须屏蔽、哪些能力降级支持、哪些能力需要研发改造。

1.3 竞品现状

竞品结论：Salesforce 字段加密是产品化配置能力，但配置后不是“完全透明兼容”。 它把字段加密拆成三类管理动作：先生成/管理租户密钥，再配置加密策略和字段范围，最后由系统异步完成字段加密启用；同时通过系统权限控制谁能管理密钥和加密策略。

观察点	截图	说明	对本需求的启发
加密能力有独立设置入口		Shield Platform 加密设置中集中管理租户密钥、数据库加密、文件附件加密和高级加密设置。页面提示已创建概率性租户密码，说明字段加密依赖租户级密钥材料。	字段加密不只是字段属性，还依赖租户级密钥、加密策略和后台执行链路。
密钥/策略管理受系统权限控制		管理加密密钥是权限集中的系统权限，用于管理租户秘密。没有该权限时，密钥管理页会提示需要“管理加密密钥”权限。	后续若做产品化配置，需要把“谁能启用字段加密”和“谁能看字段值”区分开；前者应走管理员系统权限。
可限制加密策略设置访问		高级加密设置中存在“限制加密策略设置的访问权限”，说明 Salesforce 可以要求管理员具备管理加密密钥权限后，才可执行加密策略任务。	字段加密配置入口需要独立授权，不宜默认开放给所有对象管理员。
标准字段可批量选择加密		标准字段加密页按对象展示字段，例如客户对象下的客户名、开单地址、电话等字段；页面提示加密前需要理解“考虑和权衡”，并对部分对象字段提示需要访问权限。	Salesforce 已将“标准字段是否加密”做成产品化字段选择；但启用前会提示兼容性和权限约束。
启用后存在异步处理状态		字段勾选后出现“启用待处理”，页面提示管理员会在启用完成时收到邮件，刷新后查看变更。	字段加密启用不是即时完成，涉及后台任务、状态反馈和完成通知；HKBN 历史数据迁移也应保留异步切换窗口。
密钥管理页会直接拦截无权限用户		进入密钥管理页时，如果当前用户没有管理加密密钥权限，只展示权限提示，不展示密钥材料。	敏感管理页面需要先做权限拦截，避免普通管理员接触密钥材料或加密策略。

对本需求的启发：Salesforce 的长期方向是“字段级产品化配置 + 密钥/策略权限控制 + 启用前兼容性提示 + 启用后异步状态反馈 + 启用后能力限制”。但 HKBN 995 一期仍是开发人员在数据库/元数据层处理和标记，因此本期不做自助配置；优先补齐对象能力拦截规则，避免加密字段被公式、搜索、分析、自动化链路间接使用。

1.4 产品价值

本需求直接支撑 HKBN 对电话类敏感数据的 DB 层安全诉求，避免敏感字段以明文落库。同时通过统一限制规则，避免加密字段被公式、规则、检索、分析等能力间接使用后产生明文扩散或能力异常。

1.5 需求目标

1. 明确加密字段对对象基础能力的影响边界，避免被计算字段、统计字段、验证规则、布局规则等公式类能力引用。
2. 对字段筛选、场景字段排序、ES 同步、BI 分析等能力进行屏蔽或降级，保证 995 上线范围可控。
3. 保证 HKBN 字段加密执行过程中，PaaS 周边能力不会因未适配而出现明文扩散、能力异常或客户预期不一致。

二、产品方案

2.1 方案原则

本期不做字段加密自助配置，仍由开发人员在数据库/元数据层启用和标记。产品方案只处理一个问题：字段被标记为加密后，所有依赖字段明文计算、检索、排序、聚合、分析或匹配的对象能力，都必须被识别并限制。

995 一期按“展示读写可用、等值筛选降级、其他高风险能力禁止”的口径落地。配置入口要做字段过滤，保存时要做二次校验，运行态要避免加密字段明文进入搜索索引、分析链路、日志和第三方同步。

2.2 对象能力影响矩阵

2.3 配置与运行态拦截

2.4 ES 同步与搜索口径

ES 同步服务需要在 995 中适配加密字段。默认产品口径为：加密字段不进入全文、分词、模糊搜索索引，不支持部分搜索和后几位搜索。若业务必须支持完整值等值匹配，需要研发确认采用密文等值、哈希索引或其他安全方案；未确认前，对外口径只承诺对象查询链路中的 equal 类匹配。

2.5 上线与申请流程

本节仅说明字段加密能力的交付和上线节奏，不作为本次产品方案的核心设计范围。

2.6 客户沟通口径

字段加密用于保护电话等敏感字段在数据库及底层存储中的安全。一期开启后，字段仍可正常录入、查看和通过完整值做精确匹配，但不再支持模糊搜索、全文搜索、部分搜索、排序、BI 分析、统计汇总、公式引用、验证规则引用和布局规则引用。

该限制属于字段加密类能力的通用约束。Salesforce 等国际产品也对加密字段的过滤、排序、公式、自动化能力做了限制。

三、规范检查项

3.1 业务文案多语言 Key

无。本期不新增面向终端用户的独立业务模块文案。若研发在配置拦截处新增错误提示，需要按已有国际化机制补充 Key。

3.2 需求埋点

无。本期不新增产品埋点。

3.3 沙盒/更改集能力

3.4 PaaS 国际化兼容检查

3.5 新对象/新字段 BI 分析申请

不涉及新增对象/字段 BI 分析申请。加密字段在 BI 侧默认不可见，不支持分析。

3.6 操作日志说明

本期不新增用户可见操作日志。后台执行历史数据迁移、正式切换、对象描述变更时，应记录租户、对象、字段、执行人、执行时间、执行结果和失败原因，但不得记录加密字段明文。

3.7 需求风险点检测

3.8 上线策略

3.8.1 收费标准

待确认。

3.8.2 上线节奏

3.8.3 适用版本

待确认。当前按专项客户申请处理，不作为全版本自助能力开放。

四、待确认事项

五、原始沟通依据

以下内容为项目沟通原文承载，不做改写。

能力现状：只有被后台/元数据标记为加密的字段，才会在写入时由系统自动加密保存，读取时由系统自动解密返回。普通字段不会默认加密，业务方也不需要、不能通过 APL/API 自行调用加密能力。

改造项 迁移程序改造@钱凌锋irony ：因为有442万的历史数据需要迁移处理，需要改造迁移程序；上线的时候分两步： A、刷442万历史数据：需要先对待加密的字段在Table上增加新的字段，把历史数据分批加密刷进去；预计耗时1-2天； B、切换：把增量变更的数据重新加密刷到新字段上，然后修改对象描述启用加密并指向新字段，然后把旧字段删除；预计耗时30分钟-1小时之内；在这个过程中用户最好不要修改加密字段的值 ES同步服务改造@李晨Jason ：现在的ES同步服务没有处理加密字段，需要改造处理

影响 字段开启加密后，只支持equal匹配，不支持模糊搜索、部分搜索、全文搜索等，不支持排序 字段开启加密后，在BI侧不可见，不支持任何分析

上线时间 服务发布：程序改造的量不小，预计跟随995发版（5月23日24:00全网发布）； 接受申请：995全网后接受申请，请在工作圈中提审批，写清楚对象和字段的api_name和名字；先在Dev和UAT环境开开启验证后，然后再提正式环境的申请；每个租户分开申请；

新提出的问题：从基础对象的角度，加密字段对基础对象能力的适配兼容还需要做完整改造。 基于加密字段的计算字段先不做加密有一个点请确认一下：计算字段中是否可以引用加密字段？SalesForce 中好像是不可以的，也就是说：开启了字段加密的字段，不能被作为计算字段的来源字段；我们是否也要类似方式处理？

六、附录：竞品官方资料