javascript - 从 mixpanel javascript 跟踪调用中删除个人信息

Question

我目前正在与 MixPanel 的 javascript 库集成，并且遇到了 MixPanel 似乎没有考虑过的问题。我们公司处理个人身份信息 (PII)，因此我们作为参数传递的某些数据不适合存储在第三方服务上。但是 MixPanel 的默认行为是在每个跟踪事件中包含当前页面的完整 url 和引荐来源网址。这在一定程度上是有道理的，但我们需要从这些字段中删除一些查询参数。

似乎 MixPanel 的文档没有讨论实现这一点的 API，因此任何对 MixPanel 集成更有经验的人的建议都会有所帮助。

Answer 1

“我们公司处理个人身份信息 (PII)，因此我们作为参数传递的一些数据不适合存储在第三方服务上。”

您不应将敏感数据作为 URL 参数传递。这是一个安全禁忌：这些值最终会出现在浏览器历史记录中（因此可以由浏览浏览器历史记录的人检索）和服务器端日志。始终通过 HTTP 正文或标头传递敏感数据。

参考：

• https://blog.httpwatch.com/2009/02/20/how-secure-are-query-strings-over-https/
• HTTPS 查询字符串是否安全？
• https://blog.gaborszathmari.me/2015/05/05/session-ids-as-query-parameters-must-die/
• http://owasp-aasvs.readthedocs.org/en/latest/requirement-9.3.html

Answer 2

您实际上可以通过在事件中设置 $current_url 来覆盖当前 URL，例如

mixpanel.track('My Event', {
  '$current_url': 'http://www.example.com'
});