有个做跨境独立站的团队被问了一个问题“你们有没有数据出境”技术负责人很确定没有服务器全在境内。但把域名解析记录、客户端上报日志、第三方脚本清单摆出来之后结论反转了站点引用了境外 CDN、接了两个境外统计服务、客服系统在海外、AI 翻译接口把商品描述和用户留言发到了境外节点。其中客服系统和 AI 接口传递的内容里包含姓名、邮箱、订单信息。这就是典型的隐性出境——不是你把数据库搬出去而是你用的组件在替你出境。一、出境的判定不看文件在哪看信息流经哪里判定标准可以简化为一句个人信息是否被传输到境外或被境外主体访问。以下情形都算静态资源走境外 CDN请求头、IP、埋点参数随之外流第三方统计/热力图/崩溃分析 SDK 将事件上报境外服务器客服、工单、邮件、短信服务商的数据中心在境外AI 接口翻译、摘要、客服机器人把用户内容发往境外模型节点境外团队、境外外包通过 VPN 或远程桌面访问境内生产库客户端App/PC 端将设备信息、使用日志直传境外。前三条是最容易被忽略的因为它们在架构图上通常只画成一个方框第三方服务。二、排查清单按信息流顺序过一遍前端/客户端 □ 静态资源域名归属CDN、字体库、JS 库 □ 埋点与崩溃上报的接收域名 □ 地图、支付、推送、分享等 SDK 的服务端地址 服务端 □ 出站流量白名单哪些外部 API 被调用 □ 邮件/短信/IM 服务商的数据中心所在地 □ 对象存储与备份是否跨区域 □ 日志与监控 SaaS 的存储位置 组织侧 □ 境外主体的访问权限总部、外包、咨询顾问 □ 境外用户的注册与服务链路三、三个可执行的技术动作1. 抓域名归属把客户端与服务器的出站域名全部导出逐个核对注册主体与解析 IP 归属地# 导出近 7 天出站域名示例按实际网关日志调整zcat /var/log/nginx/access.log.*.gz\|awk{print $NF}|sort|uniq-c|sort-rn|head-50# 逐一核对 whois / IP 归属whois api.example-cdn.com|grep-i-Ecountry|registrant2. 用测试账号跑全流程注册一个测试账号走完注册、下单、咨询、退款全程抓包看哪些请求带着个人信息离开境内。抓包比看文档可靠——文档会漏流量不会。3. 让第三方签数据处理协议凡是能接触个人信息的境外服务商都要有数据处理条款明确处理目的、字段范围、保留期限、子处理者清单。这一条在申报材料里是必需项。四、判定之后的路径选择排查完会发现两条路改造或申报。优先改造能换境内服务的先换日志、监控、统计类最容易替换能减少字段的先减跨境只传业务必需字段手机号可脱敏或哈希往往能把量级压到标准合同线以下。必须申报的按量级和性质选路径情形路径关基运营者向境外提供个人信息安全评估向网信申报累计向境外提供 100 万人以上个人信息安全评估累计向境外提供 1 万人以上敏感个人信息安全评估未达上述门槛标准合同备案省级网信 PIA集团内长期稳定流转个人信息保护认证注意累计口径从上年 1 月 1 日起算含所有渠道的流量不是单看主业务系统。五、把排查做成季度动作境外组件会随业务变化不断增加——市场部接一个新工具、研发引一个新 SDK就可能新增一条出境链路。建议把新增外部域名/SDK纳入变更评审每季度跑一次出站域名盘点比事后审计省事得多。本文由北京品阁科技有限公司数字安全合规评估服务商整理发布专注数据出境安全评估、个人信息保护影响评估、合规审计与人脸识别备案。