用户主页能公开什么：目录站的匿名化、去标识化和展示阈值

目录站一旦有了用户主页——公开的收藏夹、公开的提交记录、公开的评论历史——就多了一类页面：既能被搜索引擎索引，又带着某个人的信息。

这类页面该展示什么，不能凭感觉。法律上对个人信息的处理有两个关键概念，它们的后果完全不同。

图片来源：网络，版权归原作者所有，侵权请联系删除

两个概念，差在「能不能复原」

《个人信息保护法》第 73 条给出了明确定义：

• 去标识化：个人信息经过处理，使其在不借助额外信息的情况下无法识别特定自然人的过程。
• 匿名化：个人信息经过处理无法识别特定自然人且不能复原的过程。

差的就是最后四个字。去标识化的数据仍然属于个人信息——只要借助额外信息还能认出来，它就还在个人信息的范围内，收集、存储、使用、加工、传输、提供、公开、删除这一整套规则都还要走。

匿名化的数据则不属于个人信息，可以相对自由地处理。但门槛很高：不能复原。把手机号中间四位打星号不是匿名化，因为你手上还有完整号码；把用户 ID 换成哈希也不是，因为你有映射表。

实务上，大部分平台做的其实都是去标识化，而不是匿名化。这一点要诚实面对——别把打了个码的数据当成「已经匿名了，随便用」。

目录站用户主页上的三类字段

字段	性质	能不能公开
昵称、头像	账号信息，通常可识别	可，但要审核、要能改
收藏夹内容	行为数据，间接可识别	默认公开需用户主动选择
IP 归属地	规定要求展示的信息	按规定展示到合理范围
注册时间、UID	间接标识符	UID 建议不暴露真实主键
邮箱、手机号	直接标识符	绝不公开，也不该收集

关于 IP 归属地：这不是你想不想展示的问题。《互联网用户账号信息管理规定》要求在账号信息页面展示合理范围内的 IP 地址归属地信息，便于公众为公共利益实施监督。国内平台的通行做法是展示到省级或地级，不展示完整 IP。

关于 UID：用户主页的 URL 里如果用了数据库自增主键，会顺带泄露两件事：你的用户总量，以及这个用户的注册顺序。用一个不连续的公开 ID 隔开就行，成本很低。

四条可执行的规则

• 默认不公开。新用户的收藏夹默认私有，公开是用户主动点开的一个开关。这一条能挡掉绝大部分问题——大部分用户根本不会去开这个开关。
• 公开了就要能被找到、能被关掉。设置项要显眼，关掉之后页面要真的从索引里撤下来（noindex 加从 sitemap 移除），不能只是前端不显示。
• 统计数字要有展示阈值。「这个条目被 3 个人收藏」——三个人里可能只有一个是常来的，很容易被反推。给个下限，比如少于 10 就只显示「10 人以下」或者直接不显示。同理，别展示「最近收藏的用户」列表，那是把一群人打包暴露。
• 删除要连着索引一起处理。用户注销之后，他的主页要返回 404 或 410，并在 Search Console 里提交移除。页面消失了但搜索结果还在，等于没删。

收藏夹内容的版权与连带责任

还有一层容易被忽略：用户公开收藏夹之后，你页面上出现的是「某用户收藏了这些站点」这个组合信息。

如果用户的收藏夹名字叫「某某内部工具合集」，而你收录的条目里恰好有明确不该公开的地址，那这个组合就带了额外含义。这类名字要有审核规则，至少做一遍敏感词过滤。

另外，收藏夹作为用户生成内容，你的平台责任不因为是用户创建的就消失。《网络信息内容生态治理规定》对平台的主体责任要求是落在平台头上的，包括建立投诉举报和处置机制。

和索引的关系

技术上还有几件事要处理：

• 用户主页要不要收录。如果公开收藏夹有内容价值，可以收；如果只是几行统计，用 noindex 处理掉，别让大量近乎空白的用户页稀释站点的抓取预算。
• 分页和排序参数。收藏夹列表的排序参数会产生一堆 URL，canonical 指向规范形态，参数用 robots 挡掉或不做链接。
• 删除后的 URL。返回 410 比 404 更明确，让搜索引擎更快把这条从索引里拿掉。

一个判断方法

每次要在公开页面上加一个新字段之前，问三个问题：

• 这个字段单独拿出来，能不能认出具体的人？
• 把它和页面上已有的其他字段组合起来呢？
• 如果这个人后来要求删除，我能不能一处改完、所有地方（包括缓存、索引、第三方拷贝）都干净？

第三个问题最难，也最容易被跳过。答不上来就先别上这个字段——等你的删除流程能跑通了再说。