先分清你要挡的是谁：隐私发货的三种诉求
做隐私发货的品牌通常同时有这三种诉求，但它们的解法互相冲突。先分清比例再动手，否则会用一种诉求的方案破坏另一种。
防盗。目标是降低包裹的「价值信号」。外箱上的品牌标识、溢价类目的视觉特征、以及面单上可读的商品描述，都在告诉路过的人这箱东西值钱。一项针对住户的调查显示，每五个人里有三个在包裹投递季节担心包裹被拿走（住户包裹被盗担忧调查）。对应的动作是降低识别度，让包裹看起来像任何一个普通纸箱。
同住人与同事。目标是降低「类目信号」。收件人不介意箱子被看到，只介意被身边人知道买了什么。这时候品牌标识反而不是问题，商品名和类目词才是。关于无标识包装的研究发现，包装本身就是购买决策的一部分，买家会把它当成隐私承诺来读（无标识包装与消费决策研究）。护理用品、处方类保健品、成人健康用品都属于这一类。
数据面。目标是收紧字段与链接。面单上多余的字段、追踪页里可枚举的 ID、退件标签上公开的退货地址，泄露的是订单和客户信息，与商品本身是否敏感无关，任何类目都该处理。可枚举的追踪链接是典型的越权访问问题：改地址里的一个数字就能翻到别人的订单，防护做法有公开的手册可循（OWASP 越权访问防护手册）。
冲突最典型的一处是网络选择：为了把标识降到最低而换用覆盖较窄的区域网络，时效和可追踪性会跟着下降，而客户查不到包裹时产生的客服成本，往往比那点隐私收益更贵。所以清单给出的取舍顺序是：先保可追踪，再降信号，最后收数据。承运商与网络的取舍方法本身值得单独做一轮，见 多承运商策略。客户可见的这五处表面连起来是这样一条链：
