导出表格里手机号一整列明晃晃地摊在那儿，是不少站点第一次复盘个人信息时才注意到的画面。常被问的一句话是“导出模板能不能默认少两列”，能，但得先说清票务系统里哪些字段是必须留的，哪些只是当初顺手存下来的，两件事混在一起谈，最后往往变成全都别存。

按字段分，别按表分。必须留的一般就三类：订单归属，也就是这单是谁、从哪个渠道进来的；退款原路，退到哪个账号，留一段脱敏之后仍能核对的标识就够；实名核验的结果，只留通过与不通过这个结论，以及结论产生的时刻。这三类一少，退款、争议、复核全都跑不动。售票系统里另一类是过程数据，比如核验那一步采集的证件影像，它服务的是那一眼，不是那一眼之后。分清这两类，是决定后面所有配置的前提。

过后不该再存的，就别攒。过程数据最常见的错法是“先存着，万一用得上”。一旦开始存，就要配权限、配留存期限、配泄露之后要承担的后果，麻烦全在后头。真实的复核需求九成落在结论上，结论留住了，影像就可以走。批量攒影像还有一个副作用：换通道、换设备之后，历史那批没人认领，想清也清不干净，越拖越难办。票务系统里做减法比做加法麻烦，所以宁可在字段设计时就少给一栏。

默认显示成什么样，比有没有权限更要紧。窗口端和后台列表默认应当是打码形态：姓名留首字，证件号只留头尾各几位，手机号中间四位掩掉，页面上不点就不出全号。全号视图单独放一格，谁能看要分清是一次性授权还是长期角色。售票系统里最常见的松动，是把看全号直接塞进客服角色，排班一乱、临时账号一多，等于人人都能看。看了总要留痕，一次一记，谁、什么时候、看了哪一单，痕迹本身也在要管的范围内。

留存期限按营业年度说。配置里别写永久保留这种词，写了也没人执行。订单类的字段按营业年度往前推，推几年看财务和纠纷追溯实际需要多久；核验过程类的按天或者按周计；投诉、争议没结的单先单独挂着，结完再回到常规期限。期限要落地就得有个执行者，票务系统里清理任务能不能自动跑、跑失败会不会报，比写一个漂亮数字重要。跑不动的，至少要留下能逐条勾选的处理记录，否则期限只是表单里的一行注释。

第三个常见错法：把权限做成了开关，没做成层级。能看全号的人和能导表的人是同一批，导出时又把脱敏前的原始值一并带出去，前面所有的打码就白做了。售票系统的导出模板要单独设一档，默认列里不放敏感字段，多出来的列要么逐次申请、要么留申请记录。导出这个动作比页面显示更容易被忽略。

判据不复杂：随便指一个字段，问三句——谁在用、用到什么时候、看不到会怎样。三句都答得上，这块就算合格；有一句是“当初好像为了加个功能”，那它就该进清理名单。