IP 地址查询接口的隐私边界：日志保留、用途声明与滥用防护
IP 地址查询接口的隐私边界由三件事共同决定：日志保留的期限与粒度、用途声明与实际用途是否一致、滥用防护是否与数据最小化兼容。工程上可做的，是把保留期限写成配置、把用途写成可核对的句子、把风控数据限制在短窗口与不可逆标签内。具体法律义务与服务商条款因地区和产品而异，本文未联网核验，需以官方文档和法务意见为准。
- 隐私边界不由“是否记录 IP”单独决定，而由保留期限、用途一致性、防护手段三者共同决定。
- 保留策略应分层：原始日志短存，聚合指标长存，排障抽样按需延长并留下理由。
- 风控与限流尽量使用短窗口计数和加盐哈希标签，避免把长期 IP 历史沉淀成新资产。
IP 地址查询接口的隐私边界，不由“是否记录 IP”这一个开关决定。它由三件事共同决定：日志保留的期限与粒度、用途声明与实际用途是否一致、滥用防护是否与数据最小化兼容。任一项失守，另外两项都补不回来。本文只讨论工程上可落地的口径；各地的法律义务与具体服务商的条款差异很大，本文未联网核验，需以官方文档和法务意见为准。
一次查询会留下几层痕迹#
即使接口本身只做一次“IP → 归属地”的转换，链路里通常也会出现以下几层数据。这是通用架构推断，具体到某个产品以其文档为准。
- 接入层日志：时间、来源 IP、User-Agent、路径、状态码。多数网关和反向代理默认就会写。
- 应用层查询日志：被查询的那个 IP、返回结果、调用方标识或密钥 ID。
- 中间缓存：为降低上游压力而缓存的查询结果，常带较长的过期时间。
- 调用方自己的日志：这一层最容易被忽略——请求是你发出的，记录也在你这边。
值得注意的是第二层：调用方查询的往往是最终用户的 IP，因此这份日志在调用方侧就已经构成一条与个人相关的记录，而不是等到服务方落库才产生。
日志保留：把期限写成配置，而不是习惯#
“我们保留 30 天”只有在配置、清理任务和监控三者对得上时才是事实。建议按用途分层，而不是给所有日志设同一个期限：
| 数据层 | 典型内容 | 常见用途 | 保留建议 |
|---|---|---|---|
| 原始访问日志 | 完整 IP、UA、路径 | 故障排查、滥用取证 | 短窗口，自动过期 |
| 聚合指标 | 调用量、错误率、按网段计数 | 容量与可用性监控 | 可长于原始日志 |
| 排障抽样 | 少量完整样本 | 复现问题 | 按需开启，记录开启理由与关闭时间 |
需要提醒的是：把 IP 换成“城市 + 运营商”这类派生结果，并不自动等于脱敏。派生数据能否重新关联到个人，取决于粒度与上下文，这属于需要专业判断的问题，不宜由工程侧单方面结论。
用途声明：写成可核对的三句话#
用途声明的价值不在于措辞漂亮，而在于能被日志验证。可参考的写法是：
- 用于什么：计费与配额核算、滥用检测、故障排查。
- 不用于什么：用户画像、广告定向、跨站点关联。
- 变更怎么通知：新增用途前提前告知，并给出可选择的退出方式。
调用方同样有一份声明责任：把最终用户 IP 转发给第三方接口，是一次向外部提供数据的行为。建议只发送查询所必需的字段，不附带账号、会话或设备标识，并在自有隐私文档中如实描述这条数据流向。至于是否构成需要取得同意的情形，取决于适用法律，待核实。
滥用防护：别为了风控把数据攒成资产#
滥用防护天然想要“更长的历史”，隐私边界天然想要“更少的数据”。可操作的折中是：限流按调用方密钥计数，而不是按 IP；确需按 IP 时，用短窗口计数器加可轮换的加盐标签，让日志能防刷却难以回溯个体。
# 未执行示例（Python 3.11，仅用标准库）。用途：日志里以网段替代完整 IP。
# 是否满足你的合规要求需另行评估，这不是合规结论。
import ipaddress
def mask_ip(raw: str, v4_bits: int = 24, v6_bits: int = 48) -> str:
addr = ipaddress.ip_address(raw)
prefix = v4_bits if addr.version == 4 else v6_bits
return str(ipaddress.ip_network(f"{addr}/{prefix}", strict=False))
# mask_ip("203.0.113.42") 预期返回 "203.0.113.0/24"
# 上述返回值为按标准库语义推得的预期，未实际运行验证。
如果确实需要事件级的可追溯性，更稳妥的做法是把完整 IP 写入一个独立、权限更窄、过期更快的存储，并记录谁在什么情况下访问过它。
落地检查清单#
- 列出所有会写入 IP 的位置，包括网关、应用、缓存、调用方客户端。
- 为每一处写明用途与保留期限，并确认清理任务真的在跑。
- 检查用途声明中的“不用于”是否与实际代码路径一致。
- 限流与风控优先使用密钥维度；IP 维度使用短窗口与加盐标签。
- 对外文档中如实描述向第三方查询接口发送的字段。
边界说明#
本文未联网核验任何服务商的日志政策、保留期限或条款，也未调用任何端点。在 API.PLUS 这类第三方接口上做 IP 查询时，服务方与调用方的责任划分取决于其当期条款与所在司法辖区，属待核实事项；在拿到正式文档前，不宜把本文的工程建议当作合规依据。
