3、数据安全与隐私：用户数据加密、差分隐私、联邦学习在推荐中的应用

聊到推荐系统的数据安全，我脑子里第一个蹦出来的画面，是几年前一次深夜的线上事故。用户画像数据被爬虫批量拖走，那感觉，就像自家保险柜被人撬了。从那以后，我对数据隐私这块，就格外上心。

说白了，推荐系统就是个“吃数据”的怪物。你喂它越多用户行为，它就越懂你。但问题来了——用户凭什么信任你？你的模型凭什么能既聪明又“健忘”？

这一章，我们就来拆解三个核心武器：用户数据加密、差分隐私、联邦学习。它们不是各自为战，而是层层递进的关系。

3.1 用户数据加密：从存储到计算的“金钟罩”

数据加密，听起来很基础对吧？但实际落地时，坑特别多。

我个人习惯把加密分成两层：存储加密和计算加密。

• 存储加密：数据躺在那不动的时候，得锁好。比如用户ID、设备ID，用AES-256加密后存到数据库。密钥管理用KMS（密钥管理服务），别硬编码在代码里——我曾经见过有人把密钥写在配置文件里，然后不小心提交到Git仓库...嗯，那场面，你懂的。
• 计算加密：数据在内存里跑的时候，也得防着点。比如同态加密（HE），允许你在加密数据上直接做计算。但说实话，同态加密性能开销太大，在实时推荐场景里，我一般只用在离线特征工程阶段。

这里给一个简单的加密工具类示例，用于用户ID脱敏：

import hashlib
import base64
from cryptography.fernet import Fernet

# 生成密钥（生产环境请用KMS）
key = Fernet.generate_key()
cipher = Fernet(key)

def encrypt_user_id(user_id: str) -> str:
    """对用户ID进行加密，用于存储和传输"""
    return cipher.encrypt(user_id.encode()).decode()

def decrypt_user_id(encrypted_id: str) -> str:
    """解密用户ID，仅在模型推理时使用"""
    return cipher.decrypt(encrypted_id.encode()).decode()

# 示例
uid = "user_12345"
encrypted = encrypt_user_id(uid)
print(f"加密后: {encrypted}")
print(f"解密后: {decrypt_user_id(encrypted)}")

你想想看，如果所有用户ID在日志里都是密文，就算日志泄露了，攻击者也拿不到原始ID。这就是第一道防线。

3.2 差分隐私：给数据加点“噪声”，让模型“记不住”你

加密能防外部攻击，但防不住内部人员。比如，一个工程师跑了个SQL查询：“统计昨天点击了某条广告的用户中，有多少是女性？”如果结果返回“5个”，那这5个用户的隐私就暴露了。

差分隐私（Differential Privacy, DP）就是来解决这个问题的。它的核心思想很简单：在查询结果里加一点随机噪声，让攻击者无法判断某个具体用户是否在数据集中。

我记得在做一个用户画像统计服务时，产品经理要求“精确到个位数”。我跟他解释：精确到个位数，就意味着隐私泄露。最后我们达成妥协——统计结果加噪声，误差控制在±5%以内，但隐私保护强度提升了两个数量级。

差分隐私有两个关键参数：

• ε（隐私预算）：越小越安全。ε=0.1表示强保护，ε=10表示弱保护。我一般建议ε控制在1.0以内。
• δ（失败概率）：通常设为10^-5或更小。

场景	推荐ε值	说明
用户画像统计	0.1 - 0.5	统计报表，允许一定误差
模型训练	1.0 - 8.0	需要平衡精度和隐私
实时特征查询	0.5 - 2.0	延迟敏感，噪声不宜过大

下面是一个简单的拉普拉斯噪声注入示例：

import numpy as np

def add_laplace_noise(true_value: float, epsilon: float, sensitivity: float = 1.0) -> float:
    """
    向统计结果添加拉普拉斯噪声
    :param true_value: 真实统计值
    :param epsilon: 隐私预算
    :param sensitivity: 查询敏感度（通常为1）
    """
    scale = sensitivity / epsilon
    noise = np.random.laplace(0, scale)
    return true_value + noise

# 示例：统计点击某广告的用户数
true_count = 150
epsilon = 0.5
noisy_count = add_laplace_noise(true_count, epsilon)
print(f"真实值: {true_count}, 加噪后: {noisy_count:.2f}")

3.3 联邦学习：数据不动模型动

加密和差分隐私都是在“数据集中”的前提下做保护。但如果数据根本就不能出用户设备呢？比如手机上的App，用户行为数据都在本地，你不能上传到服务器。

联邦学习（Federated Learning, FL）就是干这个的。它的口号是：“数据不动，模型动”。

具体流程是这样的：

1. 服务器下发一个初始推荐模型到所有客户端（手机、PC）。
2. 每个客户端用本地数据训练模型，只把模型更新（梯度）上传。
3. 服务器聚合所有客户端的更新，生成一个新模型。
4. 重复步骤1-3，直到模型收敛。

我在一个新闻推荐项目中实践过联邦学习。当时最大的挑战不是算法，而是工程——客户端设备千奇百怪，有的手机算力弱，有的网络不稳定。我们不得不设计了一个“异步联邦学习”框架，允许客户端随时加入、随时退出。

下面是一个简化的联邦学习聚合逻辑：

import numpy as np

def federated_averaging(client_updates: list, client_weights: list = None) -> dict:
    """
    联邦平均算法（FedAvg）
    :param client_updates: 每个客户端的模型参数更新
    :param client_weights: 每个客户端的权重（如数据量）
    """
    if client_weights is None:
        client_weights = [1.0 / len(client_updates)] * len(client_updates)
    
    # 加权平均
    aggregated = {}
    for key in client_updates[0].keys():
        aggregated[key] = np.average(
            [update[key] for update in client_updates],
            axis=0,
            weights=client_weights
        )
    return aggregated

# 示例：两个客户端的梯度更新
client1 = {"w": np.array([0.1, 0.2]), "b": np.array([0.01])}
client2 = {"w": np.array([0.3, 0.4]), "b": np.array([0.02])}
global_model = federated_averaging([client1, client2])
print(f"聚合后的权重: {global_model['w']}")

3.4 三者如何协同？

你可能会问：这三个技术，到底该用哪个？

我的建议是：分层使用，组合出击。

• 第一层（存储层）：用户数据加密。所有落盘数据，必须加密。这是底线。
• 第二层（查询层）：差分隐私。任何对外输出的统计结果，必须加噪声。防止“推断攻击”。
• 第三层（训练层）：联邦学习。如果数据不能出设备，就用FL。如果数据能出设备，但不想暴露原始数据，就用加密+差分隐私。

举个例子：一个手机上的短视频推荐App。

• 用户观看记录加密后存储在本地（存储加密）。
• 客户端用本地数据训练一个轻量模型，上传梯度前加差分隐私噪声（联邦学习+差分隐私）。
• 服务器聚合梯度时，使用安全聚合协议（Secure Aggregation），确保服务器也看不到单个客户端的梯度（加密计算）。

这样一套组合拳下来，用户隐私基本就稳了。