当需要检查邮箱/用户名/手机号/姓名在数据泄露中的暴露情况…

用 HIBP、Pwned Passwords 范围 API 及商业泄露库检查并解读身份在数据泄露中的暴露，重点提取服务清单与元数据而非凭据。

适用场景

解决思路

1. 把泄露记录当作服务用户表的一行来解读：典型字段包括邮箱、用户名、密码哈希（或明文）、注册日期、最后登录、注册 IP、显示名、出生日期、物理地址、安全问题等。
2. 优先利用元数据而非凭据：用「哪个服务」确认账号存在这一事实，用注册日期锚定身份时间线并跨服务关联账号，用记录中的用户名作为新线索交给 hunt-a-handle，用注册/最后登录 IP 做粗略地理定位及判断是托管还是住宅 IP，用显示名/出生日期/地址在其他地方交叉验证（不可当作权威），用密码模式做关联分析（绝不用于登录）。
3. 按持有物选择数据源：只有邮箱、需要服务清单时用 Have I Been Pwned（经过策展、去重、标注泄露名称与数据类别，不返回凭据）；已持有某个密码（自己的或在授权范围内的）时用 HIBP Pwned Passwords 范围 API；需要实际字段值或按用户名、手机、IP、姓名搜索时用付费商业服务（DeHashed、IntelX、Snusbase）；针对当下正在流传的特定转储用 find-leaks-in-the-wild 查粘贴站、论坛和频道。
4. 使用 Pwned Passwords 时在本地对密码做 SHA-1，只把哈希的前五个十六进制字符发给范围端点，取回共享该前缀的所有哈希后缀及出现次数，在本地匹配，使服务端永远不知道查询的是哪个密码。
5. 使用商业服务时注意其差异：支持跨多种选择符的记录级搜索并返回实际字段值（这是转向引擎，可按用户名、手机、IP、姓名搜索而不只是邮箱）；语料广度与策展程度不同，越广的语料会纳入更多 combolist 和垃圾数据，越策展的会漏掉东西；有些索引的是文档、粘贴、暗网页和泄露文件而非解析后的用户表，更接近泄露材料搜索引擎。
6. 把泄露清单当作账号地图来做服务枚举：一个邮箱出现在游戏论坛、健身应用和地区约会服务中，就给出三个待调查平台、三个注册日期，往往还有三个用户名，每个都可作为 hunt-a-handle 的种子；服务本身还能刻画此人的职业、地区、语言和兴趣信号。
7. 正确处理密码模式作为关联证据：若不同身份下的两条记录带有同一个独特密码（长、非字典词、明显个人化），这是有意义的关联，应作为分析观察记录，并在笔记中对字符串做脱敏或哈希；常见密码（password1、键盘走位、球队名）不构成关联，因为成千上万人共用。
8. 对哈希只记录类型（MD5、无盐 SHA-1、加盐方案或专用密码哈希），用于判断泄露年代和服务安全姿态，然后停止；不要破解哈希，因为破解产生的凭据不允许使用，没有合法产出；唯一例外是自审计或授权安全评估且密码持有者是客户，即便如此也用范围 API 而非破解来回答问题。
9. 警惕 combolist 污染：多数流传的大型「泄露」是 combolist，即多来源凭据的聚合、去重、重排并剥离来源，命中只说明某对凭据出现在某处，无法说明来自哪个服务，从而破坏服务枚举价值。
10. 识别回收和伪造的泄露：旧数据被换名重新包装出售，有些「泄露」完全虚构，或是把公开资料抓取后当作黑客成果；检查被指来源是否曾承认事件，以及记录结构是否符合该服务可能存储的内容。
11. 区分三个日期：数据被获取的时间、首次流传的时间、你的来源收录的时间，它们可能相隔数年；「出现在日期为 X 的泄露中」只说明账号在 X 之前存在，不代表当时活跃。
12. 记住缺失不能证明任何事：未出现在任何语料中可能意味着其服务未被泄露、泄露从未公开、或你的来源不包含该数据。
13. 区分抓取与泄露：由公开资料抓取组装的数据集不是入侵证据，把它当作泄露报告是事实错误，会损害报告可信度。
14. 注意过时归属：邮箱和手机号会被弃用和重新分配，十年前的记录可能描述的是完全不同的人。
15. 警惕供应商重叠伪装成相互印证：两个商业服务结果一致，往往只是它们收录了同一份转储。
16. 按四级评定置信度：Confirmed 指记录出现在经过验证并归属泄露的策展来源、字段结构与所指服务匹配、且记录中第二个选择符独立印证；Probable 指记录出现在有声誉的商业语料、明确归属到具名服务且字段内部一致；Unconfirmed 指 combolist 命中、无归属转储或单行无印证选择符，应报告命中存在并明确说明来源无归属；Rejected 指被指来源没有可信事件、字段与该服务收集内容不符、或数据是公开抓取被重新贴标。
17. 对「泄露事件」本身评级而非只评记录：归属良好的泄露使其中每一行更可信，匿名汇编使每一行更不可信。
18. 遵守无例外的规则：绝不用泄露凭据去认证任何东西，包括「确认账号存在」、测试账号、或经客户口头同意登录当事人账号；凭据填充在多数司法辖区属于计算机滥用法下的未授权访问，密码公开不能作为抗辩。
19. 同样禁止派生行为：不尝试密码重置、不使用找回的安全问题答案、不把找回的密码拿到另一服务测试复用；复用只能从已有数据推断，绝不测试。
20. 遵守法律与处理要求：GDPR 和英国数据保护法下泄露记录属于个人数据（常为特殊类别数据），处理需有合法依据、明确保留期和可证明的数据最小化；某些司法辖区将持有特定被盗数据本身视为犯罪；多个商业服务按许可限制数据用途，把结果写入客户报告前先读条款。
21. 实际操作中只提取目标所需的最少字段，完全不保留凭据，案件材料加密静态存储并记录访问日志，按一开始写下的时间表删除；为客户处理其自身数据是最干净的立场，也是唯一可以测试密码的立场。

适用边界 · 注意事项

• 不要用泄露凭据登录任何服务、尝试密码重置、使用安全问题答案，或跨服务测试密码复用。
• 不要把抓取的公开资料或匿名汇编当作泄露证据，也不要把供应商重叠当作相互印证。
• 不要在缺乏合法依据、保留期和数据最小化安排时持有或处理泄露数据，某些司法辖区持有特定被盗数据本身即违法。