华东一家注塑件工厂上个月把设备报修从纸质单搬到了小程序，上线两周后被信息部叫停：维修商驻场人员能在后台看到全厂三百多名员工的工号和报修照片，而其中不少照片拍到了人脸和车牌。这类问题在小程序定制开发里极常见——制造企业报修场景天然要采位置、拍现场、拉外部维修商进来，任何一条没卡住就成了隐私合规缺口。下面这份清单按上线前必须点掉的验收项排，每一条都附漏掉后的具体代价。
1. 报修表单只留最小必要字段，工号之外的个人身份信息一律不收
报修人要填的只有工号、设备编号、故障描述、现场照片和紧急程度五级。姓名写成选填，住址、手机号、身份证号从表单里直接砍掉。漏掉这一步的代价很直接：工厂为做精准派单给报修人加了家庭住址和直系联系人两个必填项，按《个人信息保护法》第六条的最小必要原则，这已经构成过度收集，属地网信部门在专项检查里可责令删库并处罚款，整改要把已入库的两千多条住址记录整体抹除，派单逻辑还得重写。
2. 设备编号与报修位置做字段级解耦，不让设备坐标反向锁定到个人
设备台账里每台机有十二位编码，前四位车间、中间四位产线、末四位设备序号，例如压铸三车间的C0308线第0017号注塑机。报修提交时记录的是这个设备编码加车间级位置，而不是报修人的实时经纬度。如果图省事把当前定位直接绑到工单，再和考勤系统的个人轨迹一关联，就能还原出某个员工某天走了哪几条线，这超出报修处理目的，属于目的外使用，单独同意拿不到。
3. 现场照片在上传前完成本地脱敏，人脸和车牌区域自动打码
故障照片是报修的核心证据，但车间背景里常有同事路过、叉车号牌、电子看板。小程序定制开发阶段要接入端侧识别，照片压缩到一千万像素以内、单张不超过一点五兆，对检测到的人脸和车牌做高斯模糊后再传服务器，原图不出手机。漏掉脱敏的后果是维修商后台能看到全厂人脸，一起劳动争议或离职纠纷里这套图就可能被调出，企业既没法证明已脱敏又难追原图去向，只能被动担责。
4. 地理位置默认关闭，只有点获取车间位置才临时拉一次，精度降到五百米
绝大多数报修靠设备编号就能定位，定位权限必须默认关。员工主动点按钮时才申请一次，且把系统精度从十米级降到五百米，只够判车间不算个人轨迹。如果上线就常驻高精度定位，员工每次打开小程序都在偷偷记位置，既耗电又踩未经同意持续收集的红线，应用市场复查可下架，重过审要补单独同意弹窗和关闭开关，工期至少多一周。
5. 外部维修商走子账号，按工单行级隔离，碰不到员工花名册
驻场和签约维修商给独立子账号，权限表里钉死只能查分配给自己的工单，数据库走行级策略，员工表、考勤表对其不可见。开头那家工厂出的事，就是维修商账号用了管理员视图，工单列表里顺带把报修人姓名和照片全带了出来。补隔离要重建角色权限、把已泄露的视图收口、再给外部人员重发最小化账号，安全审计要补三份报告。这类行级隔离恰恰是小程序定制开发里模板版最容易省掉的一段，省下的工期会在整改时翻倍还。
6. 报修数据设保存期限，工单九十天后转冷归档，照片三十天只留缩略图
满足质保追溯，工单正文保留九十天，到期进冷存储再存一百八十天彻底删除；现场照片三十天后只留不大于五十K的缩略图，原图清理。没有期限条款，数据会无限堆积，既占存储又扩大泄露面。检查时若被发现超期留存且说不清理由，按保存期限最短必要原则要限期销毁并说明，存量越大清理工时越高，十万条工单的清理脚本跑一晚还不如当初定时任务省事。
7. 相机、相册、定位三个权限分别弹窗，不做一揽子同意
小程序首次用到相机才弹相机授权，用到相册弹相册，用到位置弹位置，三次分开、每次说清用途。把三个权限捆在一个允许访问按钮下，违反单独同意要求，监管口径明确不认可捆绑授权。这种写法上线后整改要拆弹窗、改授权流、补隐私文案，iOS 和安卓各测一遍，返工量不小。而权限拆分必须在小程序定制开发编码期就排进排期，事后补弹窗要动底层授权流。
8. 工单导出和状态变更全留审计日志，记录谁在何时下载了哪条
任何导出工单、下载附件的操作都写进审计表，保留六个月，含操作人、时间、工单号；工单状态从待接单到已完工的每一次流转不可篡改。漏掉日志，一旦报修数据外流就查不出泄漏点，责任认定只能靠猜。等出了事再补日志系统，历史操作已无法回溯，复盘报告写不出，只能认罚。
