代理 ID 與租戶隔離

管理識別符號對映

為 tenant_id、service_id 與內部個人引用的組合分配代理 ID，避免暴露內部 ID。不同服務使用獨立代理 ID，減少跨服務關聯。

tenant_id

從已驗證客戶端上下文獲取的企業邊界。

service_id

租戶內的服務。不要在其他服務中重複使用其 ID。

proxy_id

不嵌入姓名或電子郵件的隨機外部識別符號。

subject_ref

保險庫內部的個人引用，不包含在業務系統響應中。

status / version

啟用或停用狀態，以及用於併發更新的版本。

簽發、輪換與刪除

確認已驗證的租戶與服務，檢查對映，僅在需要時簽發安全隨機 ID，以唯一性約束和事務防止重複。拒絕停用引用，按留存政策刪除對映。

併發簽發

併發登記請求不得產生重複對映。

ID 輪換

撤銷舊 ID，啟用替代 ID，並遷移歷史引用。

刪除

區分代理 ID 撤銷與資料刪除，備份及審計記錄需分別處理。

知道 ID 並不意味著獲得存取許可權

代理 ID 不是憑據。每次請求都需在伺服器端驗證租戶、服務及記錄許可權。更改 ID 不得暴露其他租戶的記錄。

拒絕跨租戶查詢

已驗證的 tenant_id 必須與對映中的 tenant_id 一致。

分離對映儲存

業務資料庫存取許可權不應同時授予個人資料對映存取許可權。

關聯身份的許可權

關聯識別符號需要比普通查詢更嚴格的授權及審計記錄。

DATA / INTEGRATION EXAMPLE

資料與整合示例

這些示例用於說明設計。欄位名及值僅供演示，並非可執行的 API 參考。

{
  "operation": "Proxy ID issuance and lookup example",
  "request": {
    "service_id": "shop-a",
    "registration_ref": "reg_example_01"
  },
  "response": {
    "proxy_id": "nym_example_01",
    "status": "active"
  }
}

registration_ref 由保險庫登記流程簽發。這不是僅基於電子郵件雜湊的身份匹配或匿名化。

相關技術設計

為您的業務流程設計整合。

梳理留存資料、合作方及必要操作，尋找減少暴露的方法。