fix(marquee): 首页轮播脱敏名改为按 user_id 恒定 + 去 Faker 依赖

- _mask_real 无昵称分支用 random.Random(user_id) 播种合成假名 → 同一用户每次展示恒定
  (刷新/翻页不变脸)、不同用户各异;修复原全局 _rng 导致同一用户每请求换名(像假数据)的问题
- 去掉 faker 依赖,改用本地姓池(~100)×名字字池(~120)组合真名 + 中英网络昵称语料,组合空间上万、
  同屏几乎不撞名;_synth_full_name/_synth_masked_name 串入 rng 参数,种子/兜底仍用全局 _rng 出多样
- 同步 docs/api/platform-savings-feed.md、docs/database/ops_marquee_seed.md 脱敏描述
  (去手机尾号/Faker 表述,补 user_id 恒定 + JOIN user 仅活跃用户记录说明)

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

app/repositories/ops_marquee.py

@@ -6,9 +6,16 @@ feed 取最近的成功且省到钱的比价记录(脱敏用户名);不足 N 条
 种子是「生成规则」:用户名可空(空→随机合成脱敏名,避开同屏撞名)、金额是区间(每次随机取值)、
 feed 公平随机抽取(不看 sort_order),所有启用种子都有机会露出。
 
-脱敏名风格:手机尾号(138****5678)+ 中文昵称(省钱**、小张**、吃货**达人)混合,看起来像真实
-异质用户群。真实条按 user_id 确定性合成(同用户恒定);种子留空 / 旧「用户****xxx」模板名一律随机
-合成(自愈历史种子,无需迁移)。
+脱敏名规则(全 feed 统一,按字符算、中英文皆适用):
+  - 有昵称 → 昵称脱敏:≥3 字「首+隐藏字数个星+末」(省钱小能手→省***手 / SaveKing→S******g),
+    2 字「首+星」(阿强→阿*),1 字「用户+该字」(喵→用户喵);
+  - 没昵称 → 合成一个假名(见下)再脱敏,少数露「用户+id 后 3 位」(用户********618)。
+真实条:设过昵称的按真实昵称脱敏;当前多数用户没设昵称,直接展示「用户****」会清一色,故给它们合成
+假名——后期真实昵称多了,真实条会直接用真实昵称,合成占比自然下降。种子 / 兜底同样合成、避开同屏撞名;
+种子留空 / 旧「用户****xxx」模板名一律重新合成(自愈历史种子,无需迁移)。
+假名合成:纯本地语料**组合生成**(中文姓池×名字池 拼真名 / 中文网络昵称 / 英文昵称 / 英文名带数字尾),
+组合空间上万、中文为主英文为辅,脱敏后像真实异质用户群。**真实条按 `user_id` 播种确定性合成**(同一用户
+每次展示恒定、不同用户各异),刷新/翻页不变脸;种子 / 兜底用运行时随机源出多样填充。不依赖外部库。
 """
 from __future__ import annotations
 
@@ -21,6 +28,7 @@ from sqlalchemy.orm import Session
 from app.core.rewards import CN_TZ
 from app.models.comparison import ComparisonRecord
 from app.models.ops_marquee_seed import OpsMarqueeSeed
+from app.models.user import User
 
 # feed 运行时随机源(每次请求结果不同 = 轮播想要的「鲜活感」)
 _rng = random.Random()
@@ -36,59 +44,111 @@ _REAL_ROWS_TTL_SECONDS = 30
 _REAL_ROWS_FETCH_CAP = 600  # 一次多取些,够 limit≤30 去重后取数;命中缓存后复用
 _real_rows_cache: dict = {"at": None, "rows": None}
 
-# ===== 脱敏名生成:手机尾号 + 中文昵称 混合,看起来像真实异质用户群(替代旧的「用户********xxx」统一模板)=====
-_PHONE_2ND = "3456789"  # 手机号第 2 位(13x~19x)
-_SURNAMES = "王李张刘陈杨黄赵周吴徐孙马朱胡郭何高林罗郑梁谢宋唐许韩冯邓曹彭曾肖田董袁潘蒋蔡余杜叶程苏魏吕丁任沈姚卢"
-_NICK_WORDS = [
-    "省钱", "吃货", "羊毛", "薅羊毛", "爱比价", "精打细算", "持家", "干饭",
-    "美食控", "外卖", "剁手", "捡漏", "搞钱", "打工人", "摸鱼", "养生",
-    "佛系", "躺平", "暴富", "锦鲤", "夜宵", "奶茶", "热爱生活", "会过日子",
+# ===== 用户标识脱敏 + 没真实昵称时的假名合成 =====
+# 脱敏规则(中英文皆适用,按字符算):有昵称→≥3 字「首+隐藏字数个星+末」(省钱小能手→省***手 /
+# SaveKing→S******g)、2 字「首+星」(阿强→阿*)、1 字「用户+该字」(喵→用户喵);没昵称→用户+8星+id 后 3 位。
+# 没真实昵称时(当前多数用户 / 种子 / 兜底)合成假名:本地姓/名字池组合出真名 + 网络昵称语料(中/英)
+# 混播再走同一套脱敏,像真实异质用户群。后期真实昵称多了,真实条直接用真实昵称,这里占比自然下降。
+_ANON_STARS = "*" * 8  # 无昵称匿名串固定 8 星(用户********xxx)
+
+# 中文真名组合池:姓(百家姓常见 ~100)× 名字单字(~120)拼「姓 + 1~2 字」,组合空间上万。
+# 脱敏后只露「姓*」或「姓*末」,故无需真实姓名库——组合够多即看着各异(替代原 Faker zh_CN)。
+_SURNAME_ZH = list(
+    "王李张刘陈杨赵黄周吴徐孙胡朱高林何郭马罗梁宋郑谢韩唐冯于董萧程曹袁邓许傅沈曾彭吕苏卢蒋蔡贾丁"
+    "魏薛叶阎余潘杜戴夏钟汪田任姜范方石姚谭廖邹熊金陆郝孔白崔康毛邱秦江史顾侯邵孟龙万段钱汤尹黎"
+    "易常武乔贺赖龚文施洪丰房邢"
+)
+_GIVEN_ZH = list(
+    "伟芳娜秀英敏静丽强磊军洋勇艳杰娟涛明超霞平刚桂兰华健世广义兴良海山仁波宁贵福生龙元全国胜学祥"
+    "才发新利清飞彬富顺信子昌成康星光天达安岩中茂进有坚和彪博诚先敬震振壮会思群豪心邦承乐绍功松善"
+    "厚庆民友裕河哲亮政谦亨奇之轮翰朗伯宏言若鸣朋斌栋维启克伦翔旭鹏泽晨辰士以建家致树炎德行时泰盛雄"
+)
+# 英文名池:与英文昵称互补,偶尔带数字尾(jay87)更像注册用户名(替代原 Faker en_US)。
+_FIRST_EN = [
+    "Alex", "Chris", "Sam", "Jamie", "Taylor", "Jordan", "Casey", "Morgan", "Riley", "Jessie",
+    "Robin", "Drew", "Lee", "Max", "Kim", "Ray", "Dana", "Pat", "Terry", "Jay",
+    "Kelly", "Sky", "Ash", "Nico", "Remy", "Quinn", "Reese", "Sage", "Toni", "Val",
+]
+
+# 网络昵称语料:补一份「省钱小能手 / SaveKing」式网络昵称更像真实 app 用户。想更丰富往里加即可。
+_NICK_ZH = [
+    "省钱小能手", "薅羊毛专业户", "吃货一枚", "干饭人", "奶茶续命", "精打细算过日子",
+    "会过日子的人", "捡漏王", "外卖救星", "养生少年", "持家有道", "比价狂魔",
+    "月光族逆袭", "摸鱼达人", "暴富锦鲤", "美食猎人", "折扣猎手", "隐形贫困人口",
+    "打工不打烊", "佛系青年", "元气满满", "一只小馋猫", "爱吃的小朋友", "省钱才是硬道理",
+]
+_NICK_EN = [
+    "SaveKing", "DealHunter", "FoodieLife", "BudgetBoss", "CouponQueen", "ThriftyOne",
+    "SnackLover", "BargainHero", "PennyWise", "SmartShopper", "DiscountNinja", "HungryPanda",
+    "MoneyMaster", "CheapEats", "SaverPro", "FrugalFox", "NoodleKing", "BubbleTeaFan",
+    "GoldenSaver", "ValueHunter", "SnackAttack", "LazyFoodie",
 ]
-_NICK_PREFIX = ["小", "大", "老", "阿", "一只", "爱吃的", "快乐的"]
-_NICK_SUFFIX = ["达人", "小能手", "侠", "党", "一族", "星人", "鸭", "酱"]
-_LETTER_U = "ABCDEFGHJKLMNPQRSTUVWXYZ"
-_LETTER_L = "abcdefghijkmnpqrstuvwxyz"
 
 
-def _phone_name(rng: random.Random) -> str:
-    """手机尾号式:1[3-9]X****XXXX(合成、非真实号)。"""
-    head = "1" + rng.choice(_PHONE_2ND) + str(rng.randint(0, 9))
-    return f"{head}****{rng.randint(0, 9999):04d}"
+def _mask_nickname(nick: str) -> str:
+    """昵称脱敏(按字符,中英文皆可):≥3 字→首+(隐藏字数个)星+末(省钱小能手→省***手 / SaveKing→S******g);
+    2 字→首+星(阿强→阿*);1 字→「用户」+该字(喵→用户喵)。调用方需保证 nick 已 strip 且非空。"""
+    n = len(nick)
+    if n >= 3:
+        return nick[0] + "*" * (n - 2) + nick[-1]
+    if n == 2:
+        return nick[0] + "*"
+    return "用户" + nick
 
 
-def _nickname(rng: random.Random) -> str:
-    """昵称打码式,中文为主(约 11/12),掺少量中英混 / 纯字母。
-    ⚠️ 脱敏星号一律夹在中间(xx**yy),星号前后都要有可见字——不出现结尾打码(省钱**)的形态。
-    """
-    p = rng.randint(0, 11)
-    if p in (0, 1, 2, 3, 4):
-        return rng.choice(_NICK_WORDS) + "**" + rng.choice(_NICK_SUFFIX)  # 省钱**党 / 吃货**达人
-    if p in (5, 6):
-        return rng.choice(_SURNAMES) + "**" + rng.choice(_NICK_SUFFIX)  # 张**侠
-    if p in (7, 8):
-        return rng.choice(_NICK_PREFIX) + rng.choice(_SURNAMES) + "**" + rng.choice(_NICK_SUFFIX)  # 小张**达人
-    if p in (9, 10):
-        return rng.choice(_NICK_WORDS) + "**" + rng.choice(_LETTER_U)  # 中英混 省钱**A(字母移到星号后)
-    return rng.choice(_LETTER_U) + "**" + rng.choice(_LETTER_L)  # 纯字母(约 1/12) A**b
+def _anon_by_id(user_id: int) -> str:
+    """没昵称匿名:固定「用户」+ 8 星 + id 后 3 位(不足 3 位前补 0):用户********618。"""
+    return "用户" + _ANON_STARS + f"{user_id % 1000:03d}"
 
 
-def _realistic_name(rng: random.Random) -> str:
-    """~45% 手机尾号 + ~55% 中文昵称,混合出真实异质感。"""
-    return _phone_name(rng) if rng.random() < 0.45 else _nickname(rng)
+def _synth_full_name(rng: random.Random) -> str:
+    """合成一个完整(未脱敏)假名:中文真名(姓+1~2字) / 中文网络昵称 / 英文昵称 / 英文名(可带数字尾) 混播,
+    中文为主(~70%)英文为辅(~30%)。**全程用传入 rng** → 同种子复现、不同种子各异、组合空间上万。"""
+    r = rng.random()
+    if r < 0.35:
+        # 中文真名:姓 + 1~2 个名字字(60% 概率两字),脱敏后露「姓*」或「姓*末」
+        given = rng.choice(_GIVEN_ZH) + (rng.choice(_GIVEN_ZH) if rng.random() < 0.6 else "")
+        return rng.choice(_SURNAME_ZH) + given   # 王伟 / 李秀兰
+    if r < 0.70:
+        return rng.choice(_NICK_ZH)              # 中文网络昵称:省钱小能手
+    if r < 0.85:
+        return rng.choice(_NICK_EN)              # 英文昵称:SaveKing
+    base = rng.choice(_FIRST_EN)                 # 英文名,半数带数字尾:Jay87 / Alex
+    return base + (str(rng.randint(1, 99)) if rng.random() < 0.5 else "")
 
 
-def _mask_user(user_id: int) -> str:
-    """真实用户脱敏:按 user_id 确定性合成一个名(同用户恒定、不暴露真实信息)。"""
-    return _realistic_name(random.Random(user_id))
+def _synth_masked_name(rng: random.Random) -> str:
+    """合成一条「已脱敏」假名(供没真实昵称的真实用户 / 种子 / 兜底用)。用传入 rng 决定一切随机。"""
+    full = _synth_full_name(rng).strip()
+    return _mask_nickname(full) if full else "用户" + _ANON_STARS + f"{rng.randint(0, 999):03d}"
+
+
+def _mask_real(nickname: str | None, user_id: int) -> str:
+    """真实用户脱敏:设过昵称→昵称脱敏(中英文皆可);没昵称→**按 user_id 播种确定性合成假名**再脱敏
+    (同一用户每次展示恒定、刷新不变脸,不同用户各异),避免无昵称用户清一色「用户****xxx」;
+    少数(~15%)露「用户+真实 id 后 3 位」。当前多数用户没昵称,后期真实昵称多了占比下降。"""
+    nick = (nickname or "").strip()
+    if nick:
+        return _mask_nickname(nick)
+    # 关键:按 user_id 播种本地 rng → 同一用户的合成名跨请求/刷新恒定(0.15 抽签也用它)。
+    seeded = random.Random(user_id)
+    return _anon_by_id(user_id) if seeded.random() < 0.15 else _synth_masked_name(seeded)
+
+
+def _synth_name(rng: random.Random) -> str:
+    """合成一条脱敏名(种子留空 / 旧模板名 / 兜底用):绝大多数=假名脱敏,少数=用户+随机 3 位(用户********618)。"""
+    if rng.random() < 0.15:
+        return "用户" + _ANON_STARS + f"{rng.randint(0, 999):03d}"
+    return _synth_masked_name(rng)
 
 
 def _unique_name(used: set[str]) -> str:
-    """随机合成一个不与 used 撞的脱敏名(种子留空 / 旧模板名用),防同屏撞名。"""
+    """随机合成一个不与 used 撞的脱敏名(种子留空 / 旧模板名 / 兜底用),防同屏撞名。"""
     for _ in range(60):
-        n = _realistic_name(_rng)
+        n = _synth_name(_rng)
         if n not in used:
             return n
-    return _realistic_name(_rng) + str(_rng.randint(0, 99))  # 兜底(几乎不会到)
+    return "用户" + _ANON_STARS + f"{_rng.randint(0, 999):03d}"  # 兜底:数字尾号天然好去重
 
 
 def _validate_amount(min_cents: int, max_cents: int) -> None:
@@ -116,8 +176,9 @@ _FALLBACK_MAX_CENTS = 3500
 
 
 # ===== 用户侧:轮播 feed(真实 + 种子混播) =====
-def _recent_real_rows(db: Session) -> list[tuple[int, int]]:
-    """近期 success 且省到钱的 (user_id, saved_cents),按 created_at desc;带 ~30s 进程内缓存。
+def _recent_real_rows(db: Session) -> list[tuple[int, int, str | None]]:
+    """近期 success 且省到钱的 (user_id, saved_cents, nickname),按 created_at desc;带 ~30s 进程内缓存。
+    join user 取真实昵称用于脱敏(无昵称则展示层走「用户+id 后 3 位」)。
     返回纯元组(脱离 session),可安全跨请求复用。极端并发下偶尔多查一次(无锁、幂等),纯门面无副作用。
     """
     now = datetime.now(CN_TZ)
@@ -125,7 +186,8 @@ def _recent_real_rows(db: Session) -> list[tuple[int, int]]:
     if cached is not None and at is not None and (now - at).total_seconds() < _REAL_ROWS_TTL_SECONDS:
         return cached
     rows = db.execute(
-        select(ComparisonRecord.user_id, ComparisonRecord.saved_amount_cents)
+        select(ComparisonRecord.user_id, ComparisonRecord.saved_amount_cents, User.nickname)
+        .join(User, User.id == ComparisonRecord.user_id)
         .where(
             ComparisonRecord.status == "success",
             ComparisonRecord.saved_amount_cents > 0,
@@ -134,7 +196,7 @@ def _recent_real_rows(db: Session) -> list[tuple[int, int]]:
         .order_by(ComparisonRecord.created_at.desc())
         .limit(_REAL_ROWS_FETCH_CAP)
     ).all()
-    out = [(int(uid), int(sc)) for uid, sc in rows]
+    out = [(int(uid), int(sc), nick) for uid, sc, nick in rows]
     _real_rows_cache["rows"], _real_rows_cache["at"] = out, now
     return out
 
@@ -155,12 +217,12 @@ def get_feed(db: Session, limit: int = 8) -> list[dict]:
     items: list[dict] = []
     used_names: set[str] = set()
     seen_users: set[int] = set()
-    for uid, sc in rows:
+    for uid, sc, nick in rows:
         if uid in seen_users:
             continue
         seen_users.add(uid)
-        name = _mask_user(uid)
-        used_names.add(name)  # 真实名按 user_id 稳定;偶发撞名可接受
+        name = _mask_real(nick, uid)
+        used_names.add(name)  # 真实名按昵称/id 稳定;偶发撞名可接受
         items.append({"masked_user": name, "saved_amount_cents": int(sc)})
         if len(items) >= limit:
             break

docs/api/platform-savings-feed.md

@@ -2,7 +2,11 @@
 
 > 所属:Platform 组（前缀 `/api/v1/platform`） | 鉴权:**无** | [← 返回 API 索引](./README.md)
 
-客户端首页顶部「用户****xxx 比价后节省 xx 元」滚动条数据源。全平台真实比价记录优先;不足时用运营配的种子([ops_marquee_seed](../database/ops_marquee_seed.md))补齐到 `limit` 条「混播」,保证轮播不空。
+客户端首页顶部「某用户 比价后节省 xx 元」滚动条数据源。全平台真实比价记录优先;不足时用运营配的种子([ops_marquee_seed](../database/ops_marquee_seed.md))补齐到 `limit` 条「混播」,保证轮播不空。
+
+**用户标识脱敏规则(全 feed 统一)**:① 有昵称 → 昵称脱敏:≥3 字「首+隐藏字数个星+末」(省钱小能手→`省***手`)、2 字「首+星」(阿强→`阿*`)、1 字「用户+该字」(喵→`用户喵`);② 没昵称 → 按 `user_id` **确定性合成一个假昵称再脱敏**(同用户恒定,避免无昵称用户清一色 `用户****`),少数露「用户」+ 8 星 + id 后 3 位(`用户********618`)。
+
+> 合成假名走**本地语料组合生成**(无外部库):中文真名(姓池 ×名字字池 拼「姓+1~2字」) / 中文网络昵称 / 英文昵称 / 英文名(可带数字尾) 混播,中文为主英文为辅,组合空间上万。真实条按 `user_id` 播种 → 同一用户名字恒定、不同用户各异(刷新/翻页不变脸,同屏几乎不撞名);种子/兜底用运行时随机源出多样。当前真实用户大多没设昵称,故走合成。
 
 ## 入参
 | 参数 | 类型 | 说明 |
@@ -15,15 +19,15 @@
 | 字段 | 类型 | 说明 |
 |---|---|---|
 | `items` | list | 轮播条目数组(最多 `limit` 条) |
-| `items[].masked_user` | string | 脱敏用户名,手机尾号(`138****5678`)/ 中文昵称(`省钱**`)混合风格 |
+| `items[].masked_user` | string | 脱敏用户名:昵称/合成名脱敏(`省***手` / `王*` / `SaveK**g`)或匿名 `用户********618` |
 | `items[].saved_amount_cents` | int | 节省（分），客户端 ÷100 显示「x.xx 元」 |
 | `items[].time` | string | 北京时间 `HH:MM:SS` |
 
 ## 说明
-- 真实条:`comparison_record` 中 `status='success'` 且 `0 < saved_amount_cents ≤ 300 元` 的近期记录(金额超 300 元视为异常 / bug 值剔除,防「节省 999 元」穿帮),**按 `user_id` 去重**(同一用户只取最新一条,避免单人刷屏);用户名按 `user_id` **确定性合成**手机尾号 / 中文昵称混合脱敏名(同用户恒定)。
+- 真实条:`comparison_record` 中 `status='success'` 且 `0 < saved_amount_cents ≤ 300 元` 的近期记录(金额超 300 元视为异常 / bug 值剔除,防「节省 999 元」穿帮),**JOIN `user` 表取昵称 → 仅 user 表内用户的记录入选**(孤儿/已删用户记录不计,设计如此;当前用户量少,缺口由种子补足),**按 `user_id` 去重**(同一用户只取最新一条,避免单人刷屏);有昵称按真实昵称脱敏,无昵称按 `user_id` 播种**确定性合成**脱敏名(同用户恒定、刷新不变脸)。
 - 种子条:`ops_marquee_seed`(`enabled=true`),仅在真实去重后不足 `limit` 时补齐;**从启用种子中公平随机抽取**(不再固定取前 N,所有种子都有机会露出)。每条种子:用户名留空或旧 `用户****xxx` 模板名则**随机合成混合风格名并避开同屏撞名**(自愈历史种子),金额在 `[min_cents, max_cents]` 取**长尾随机值**(小额居多、偶尔大额,固定金额则 min==max)。
 - 兜底:真实 + 种子仍凑不满 `limit`(种子被全停用 / 太少)时,用**内置合成条补满**,保证轮播既不空也不稀疏。
 - **`time` 为合成的「最近」时间**(从当前北京时间往前**随机抖动**递减,首条几十秒前,其余多数 1~5 分钟、偶尔扎堆或较长):社会证明轮播保证永远像刚发生且节奏自然不机械,不受旧测试数据 / 低谷期记录影响。真实的用户/金额不变,只换展示时间。
-- 因含随机(抽取 / 金额 / 合成名),**每次请求结果都不同**——这是轮播想要的鲜活感。
+- 因含随机(种子抽取 / 金额 / 展示时间 / 种子合成名),**每次请求结果都不同**——这是轮播想要的鲜活感;但**真实用户的脱敏名按 `user_id` 恒定**,同一用户跨请求不变脸(避免「同一人换张脸」露馅)。
 - **性能**:首页人人都看、真实数据变化慢,真实记录原始行带 **~30s 进程内缓存**(展示层随机仍每次重算,只省 DB 往返;新记录最多晚 30s 进轮播)。查询走复合索引 `ix_comparison_status_created (status, created_at)`,避免随数据量增大全表扫。
 - 逻辑见 `app/repositories/ops_marquee.py`;运营管理种子见 [admin-marquee-seeds](./admin-marquee-seeds.md)。

docs/database/ops_marquee_seed.md

@@ -8,7 +8,7 @@
 | 列 | 类型 | 约束 / 默认 | 说明 |
 |---|---|---|---|
 | `id` | Integer | PK, autoincrement | |
-| `masked_user` | String(64) | NULL 可空 | 脱敏用户名,手机尾号(`138****5678`)/ 中文昵称(`省钱**`)风格(整串存)。**留空或旧 `用户****xxx` 模板名 → feed 展示时随机合成混合风格名**(避开同屏撞名、自愈历史种子),风格与真实条一致、永不穿帮 |
+| `masked_user` | String(64) | NULL 可空 | 脱敏用户名(整串存)。**留空或旧 `用户****xxx` 模板名 → feed 展示时按脱敏规则随机合成**(本地姓/名字池组合的真名 + 中英网络昵称语料,首末字+星;避开同屏撞名、自愈历史种子),风格与真实条一致、永不穿帮。详见 [platform-savings-feed](../api/platform-savings-feed.md) |
 | `min_cents` | Integer | NOT NULL | 节省金额区间下限(分) |
 | `max_cents` | Integer | NOT NULL | 节省金额区间上限(分);feed 每次在 `[min,max]` 随机取值,**固定金额则 min==max** |
 | `enabled` | Boolean | NOT NULL, default true | 停用的不参与混播 |