上个月陪一家婚介机构过合规检查检查人员翻到一条两年前的注销记录只问了一句这位会员的身份证照片、婚况证明、聊天记录现在系统里还找得到吗负责人当场没答上来。这个问题后来变成我们升级婚恋系统的一个专项题目就一句话——服务终止之后会员数据到底怎么处理。多数做婚恋系统的团队第一反应是把注销写成一条 DELETE代码一行问题结束。真做起来才发现删除是整个生命周期里最简单的一段。难的是三件事删之前的封存怎么做、备份里的残留怎么处理、删完之后拿不拿得出证据。这三件事任何一件没想清楚检查时都会变成回答不了的问题。把留存期限写成配置而不是代码婚恋系统里不同字段该留多久答案不一样。身份证影像这类敏感资料服务终止后保留期要短聊天记录涉及纠纷举证可以放长一点行为日志又能更长。与其在代码里写死不如落一张策略表CREATETABLEretention_policy(policy_idINTPRIMARYKEY,data_domainVARCHAR(32)NOTNULL,-- id_card / profile / chat / payment / log retain_days INT NOT NULL, -- 服务终止后保留天数 action ENUM(erase,anonymize,archive) NOT NULL, grace_days INT NOT NULL DEFAULT 0 -- 反悔窗口);注册环节给每个会员挂上对应策略注销那一刻不用现算调度任务直接按 retain_days 排期。期限做成数据还有个好处整治要求在变改一行配置就能生效不用等发版。有个字段容易被忽略支付与订单记录。按财务相关法规交易凭证有自己的法定保存年限不能跟着会员注销一起删。所以 payment 这个域的 action 应该是 archive 而不是 erase先脱敏关联人信息凭证本身归档保留。这也是婚恋系统和普通社区类产品在删除设计上的一个显著差异账户没了账还得在。备份是删除最容易漏掉的死角删完线上表先别急着宣布结束。婚恋系统里最敏感的就是身份证影像和婚况证明这几张表昨晚的全量备份、上个月的归档里它们多半还在。婚恋系统的备份轮转周期如果是 30 天一次“彻底删除”实际要到第 31 天才真正生效这段窗口期得如实写进隐私政策对外承诺“即时删除”是给自己挖坑。我们把整个生命周期画成一张图贴在工位上注销申请 反悔窗口 -- 服务中: 会员撤销 反悔窗口 -- 脱敏归档: 到期执行 脱敏归档 -- 已清除: 备份轮转完成服务中反悔窗口有个实现细节容易踩坑归档库的索引键要和线上主键解耦。要是归档记录还指着线上 user_id删掉线上记录之后归档反而失去寻址依据后续按期清除就成了空话。逻辑删除也值得一提。很多婚恋系统用 is_deleted 标记代替真删这对日常运营没问题但不能算完成删除义务——标记位一去掉数据就回来了。合规意义上的删除最终一定要走到脱敏或清空那一步逻辑删除只能算过程中的封存手段。脱敏要做幂等还得留一点可识别性反悔窗口内会员随时可能撤销注销所以到期后的默认动作不是物理删除是脱敏defanonymize(user):saltget_env(ERASURE_SALT)user.nickname已注销用户user.phone_hashhmac_sha256(user.phonesalt)[:16]user.id_cardNone# 影像类直接清空不留可恢复副本 user.save()用 HMAC 而不是明文替换是为了保留一层同一自然人的识别能力有人注销半年后又用同一个手机号注册系统靠 phone_hash 能认出这是老会员把历史标签接回去但谁都还原不出原号码。影像类字段不参与这套逻辑直接清空。幂等是另一个必须满足的性质调度任务重跑、服务重启之后同一个会员的脱敏动作执行两次结果必须一致。第一次执行后原始字段已经不在了第二次再跑等于对空值操作只要函数里没有读原文再变换的隐藏依赖就不会出错。我们的做法是脱敏函数只依赖当次入参不回查任何原始表重跑一百遍结果也一样。反悔的处理倒简单撤销注销的会员按重新注册走实名认证原数据不还原。反正影像已经清了想回来就重新提交材料流程和新人一样。这样避免了删除又恢复这个在工程上极易出错的路径。台账是做给检查看的每一次清除都要落一条 erasure_log谁发起、依据哪条策略、覆盖哪几个数据域、几点执行、备份侧何时到期。字段设计和核验留痕一个思路状态、时间、操作人、渠道四要素齐了检查时才调得出证据。婚恋系统的导出接口也应该接上同一张台账内部人员导了什么、导了多少行、给谁用事后可追溯。多地整治方案里内部人员私自导出、备份、转发会员资料已经被点名这条台账算是一并交卷。还有一点台账自己也要有保留期而且应该比它记录的数据活得更久。数据删了、台账还在才能证明我们按规则删过台账跟着数据一起没了检查时又回到说不清的起点。复盘这套东西拆开看不复杂策略表一张、调度任务一个、脱敏函数一个、台账一张。真正要想清楚的是“删除”这个词对外对内的含义不一样。对用户它是点完按钮立刻生效的感知对系统它是跨备份周期的漫长过程。婚恋系统处理的是最敏感的一类个人数据把这个过程做实比多上十个匹配功能都值。写在最后文中方案来自我们在婚恋行业 SaaS云中红线的一线实践欢迎交流。
