只收集完成服务所需信息，避免过度留存带来的额外风险。

敏感字段默认脱敏，减少日常使用中“顺手看到”的概率。

按角色与场景授予权限，敏感动作可加确认，降低越权与误操作。