设计规则要求：在嵌入和索引之前检测并掩蔽敏感字段，而不是依赖事后过滤；掩蔽必须在自己环境内运行，不能把原始文档发给第三方掩蔽API。