项目介绍基于java+vue的差分隐私的统计发布与查询系统设计与实现（含模型描述及部分示例代码）专栏近期有大量优惠还请多多点一下关注加油谢谢你的鼓励是我前行的动力谢谢支持加油谢谢

xiaoxingkongyuxi

335人浏览 · 2026-05-20 11:30:00

xiaoxingkongyuxi · 2026-05-20 11:30:00 发布

基于java+vue的差分隐私的统计发布与查询系统设计与实现的详细项目实例

或者访问对应标题的完整博客或者文档下载页面（含完整的程序，GUI设计和代码详解）

差分隐私的统计发布与查询系统，是面向数据共享、数据分析和数据治理场景构建的一类安全发布平台。其核心目标，是在保证统计结果可用的前提下，对个体数据的隐私泄露风险进行严格控制。随着政务数据开放、医疗科研协作、教育统计分析、互联网行为研究和企业数据资产流通的不断深入，数据统计结果的发布频率显著增加，查询范围也更加复杂。传统统计方式通常依赖直接汇总原始数据，虽然实现简单、结果直观，但在样本量较小、字段组合较细、查询粒度较高时，极容易通过交叉查询、差分推断、背景知识关联等方式暴露个人敏感信息。尤其在实名信息、地理轨迹、消费记录、就医记录、学籍数据等场景中，即便统计结果不直接包含姓名，也可能因少量样本的特征组合而反推到具体个体。因此，如何在统计发布前对结果进行隐私保护处理，已经成为数据系统设计中的关键问题。

差分隐私为这一问题提供了成熟而严谨的理论基础。它通过在统计结果中引入受控噪声，使任意单个样本的加入或移除都不会显著影响最终输出，从而让攻击者无法通过结果变化判断某条记录是否存在于数据集中。该机制特别适用于计数、均值、比例、分布、TopK、区间查询等常见统计任务。与传统的加密方案不同，差分隐私并不依赖数据完全不被访问，而是强调在“可分析”的前提下实现“可保护”的发布方式，适合面向外部开放接口、内部多部门协同和多轮交互分析。结合Java后端与Vue前端，可以构建一个具备用户认证、权限控制、隐私预算管理、统计任务调度、查询结果可视化和审计追踪能力的完整系统，使统计发布不再只是一个单点功能，而是形成可运营、可管理、可扩展的平台化能力。

从项目实践角度看，该系统的价值并不仅限于隐私保护，还体现在统计服务标准化和数据治理规范化两个方面。其一，系统可以将不同来源的数据集抽象为统一的统计资源，支持按表、按字段、按维度进行灵活查询，降低统计人员和业务人员的使用门槛；其二，系统通过差分隐私参数配置、查询限流、结果缓存、预算扣减等机制，把原本容易被滥用的统计能力转化为受约束的安全服务，避免无序查询导致的隐私累积泄露；其三，系统借助前后端分离架构，将复杂隐私算法封装在服务端，前端仅负责交互、展示和参数输入，既提升维护性，也提高部署灵活性。在政务公开、科研数据服务和企业经营分析中，这类系统能够有效平衡“开放”与“安全”的矛盾，成为现代数据基础设施中的重要组成部分。

从技术实现上，Java适合作为后端核心语言，原因在于其生态成熟、并发能力较强、企业级框架完善，适合承载权限校验、统计引擎、预算管理和日志审计等复杂逻辑；Vue适合作为前端界面框架，能够快速构建仪表盘、表格查询、图表展示和表单配置页面，提升用户体验。系统通常采用Spring Boot、MyBatis、Spring Security、JWT、Redis、MySQL等技术栈，并引入差分隐私算法模块对查询结果进行扰动处理。这样既能满足统计任务的高并发访问需求，又能实现隐私保护策略的统一管控。该项目的研究和实现意义在于：它不是简单地把算法嵌入程序，而是将隐私保护思想真正落地到统计发布链路中，使数据可用性、系统可维护性与隐私安全性达到较好的平衡。

项目目标与意义

统一统计发布入口

系统的首要目标，是为多源数据统计任务提供统一入口。现实场景中，数据往往分散在多个业务库、专题库和缓存中，统计需求也来源于不同角色，例如管理员关注整体指标，分析人员关注趋势变化，业务人员关注局部分类结果。若每次统计都直接访问原始表，不仅权限难以统一控制，而且查询方式、输出格式、审计记录都难以标准化。通过建立统一入口，可以把统计任务抽象为标准请求，包括数据集选择、字段选择、分组维度、查询条件、隐私预算和输出格式等。系统只向外暴露规范化接口，由后端统一完成校验、调度、计算和结果生成，这样既能减少重复开发，也便于后续扩展新数据源和新统计类型。对于管理层而言，统一入口意味着所有查询都可追踪、可回放、可分析；对于开发与运维而言，统一入口能够降低接口散乱带来的维护成本，提高系统整体稳定性和一致性。

保障个体数据隐私

项目的核心目标，是通过差分隐私机制实现对个体记录的有效保护。统计系统最危险的地方，不在于单次大范围统计，而在于大量细粒度查询叠加后的推断风险。攻击者可能借助少量变化的查询结果估计某个个体是否存在、属性是否满足条件、是否参与某次行为。差分隐私通过向输出添加经过控制的随机噪声，打破“结果变化与个体存在”之间的直接对应关系，使查询者无法凭借结果反差获取敏感信息。系统在设计时需要考虑全局隐私预算、每用户预算、每数据集预算以及每任务预算，确保隐私消耗可量化、可限制、可审计。意义在于，平台不再只是“能查出结果”，而是“能在安全边界内查出结果”，从而使数据开放、科研共享和经营分析更容易获得合规支持，也降低了机构在隐私合规方面的法律与社会风险。

提升统计结果可用性

差分隐私并不等于“只保护不实用”，系统目标还包括尽量提升统计结果的准确度和业务可解释性。若噪声过大，结果会失去参考价值；若噪声过小，隐私保护又不充分。因此，需要根据查询类型、样本规模、敏感程度和预算大小动态选择噪声强度。对于计数类结果，可以采用拉普拉斯机制；对于高维分布或复杂查询，可以使用分层聚合、分桶统计或组合预算分配；对于时间序列数据，可以考虑在连续查询场景下做预算衰减与结果平滑。这样既能避免输出完全失真，也能让业务人员在报表、趋势分析、异常识别等任务中继续使用统计数据。该目标的意义体现在系统落地层面：只有结果可读、趋势稳定、误差可控，用户才愿意持续使用平台，差分隐私技术也才能真正进入业务流程，而不是停留在理论展示阶段。

建立可审计可扩展平台

项目还希望形成一个可审计、可扩展、可运维的统计隐私平台。可审计意味着每一次查询都有记录，包括谁发起、查询了什么、消耗了多少预算、输出结果是否命中缓存、是否触发异常规则等；可扩展意味着后续可增加新的统计算法、新的数据源适配器、新的前端展示组件和新的权限角色；可运维意味着系统能够监控接口调用、任务执行时长、预算剩余量、失败原因和性能瓶颈。对于管理者来说，这种平台能提供完整的治理视角，帮助发现高频查询、异常行为和资源浪费；对于开发者来说，模块化结构让算法与业务解耦，便于维护和升级。其意义在于把一次性的隐私保护功能建设，升级为可持续运营的数据服务能力，为未来更多隐私计算、联邦分析和安全共享功能奠定基础。

项目挑战及解决方案

隐私保护与结果精度的平衡

系统面临的第一个难点，是如何平衡隐私强度和统计精度。差分隐私依赖噪声注入，噪声越大，个体保护越强，但统计偏差也越明显；噪声越小，结果越接近真实值，但隐私泄露风险会上升。这个矛盾在小样本查询、低频类别统计和高维交叉查询中尤为突出。例如某个地区某年龄段的样本数很少，若直接加较大噪声，结果可能变成负数或者严重偏离实际。解决思路是根据查询类型自适应选择机制，并结合结果后处理技术，例如对计数结果做非负裁剪、对比例结果做区间归一、对分桶结果做平滑修正。同时引入隐私预算管理，将预算按查询优先级、业务重要性和时间窗口分配，确保关键统计任务获得更合理的精度。通过这种方式，系统既保留差分隐私的数学保证，又尽可能减少对业务使用的影响。

多轮查询下的预算消耗控制

第二个难点，是连续查询场景下的预算累积问题。差分隐私不是“一次加噪就永久安全”，每次查询都会消耗一部分隐私预算，若用户通过多轮小查询不断逼近真实值，整体泄露风险仍然会增加。系统需要面对的问题包括：如何记录每个用户、每个数据集、每个统计任务的预算余额，如何限制高频调用，如何在不同查询之间分配预算，如何在预算不足时拒绝请求或降级处理。解决方案通常包括全局预算池、按用户额度、按任务优先级三层控制，并结合Redis实现快速计数与限流。对于某些联合统计场景，还可采用预算合并和结果缓存策略，避免相同查询重复扣减。这样不仅能控制风险，也能减少重复计算，提升系统效率。预算机制是差分隐私系统落地的关键，不建立清晰的消耗规则，隐私保护就会在连续交互中逐渐失效。

系统可用性与工程复杂度

第三个难点，是算法实现与工程交付之间的差距。差分隐私算法本身并不难写，但要把它集成到一个可用的统计查询平台中，还需要面对身份认证、角色授权、数据加载、任务调度、接口幂等、缓存一致性、异常恢复和日志审计等大量工程问题。若系统设计过于学术化，前端使用体验会很差；若只重视界面展示，隐私控制又可能流于形式。解决方式是采用分层架构，把认证授权、统计计算、隐私扰动、结果展示和日志审计拆分为独立模块。后端使用Spring Boot承载业务流程，前端用Vue构建查询页和图表页，数据库负责持久化配置和审计数据，缓存负责预算和热点结果。通过模块化设计，复杂度被拆解成可维护的单元，系统也更容易调试和扩展。这样既照顾了实际部署需求，也避免单体代码变得臃肿难维护。

项目模型架构

身份认证与权限控制层

该层负责确认请求来源是否合法，以及请求者是否具备执行某类统计操作的权限。系统通常采用JWT完成无状态认证，登录后由服务端签发令牌，前端在后续请求中携带令牌，后端拦截器解析令牌并获取用户身份、角色和权限范围。权限控制不仅包括页面访问，还包括接口级别控制和数据级别控制，例如普通用户只能查看自己所属部门的数据，分析人员可查看聚合结果，管理员可配置隐私预算和导出审计记录。该层的基本原理是把身份确认与资源授权分离，先验证“是谁”，再判断“能做什么”。这样可以减少越权访问，避免未经授权的统计请求直接进入计算层。若前端尝试访问非法接口，后端立即返回拒绝结果，不进入数据库查询和隐私扰动阶段，从源头减少风险。

数据接入与统计抽象层

该层负责把不同业务系统中的原始数据映射为统一的统计对象。现实数据结构差异很大，有的表是订单记录，有的是医疗记录，有的是课程成绩，因此系统不能依赖单一固定模式，而要通过元数据描述字段、类型、维度、敏感等级和聚合方式。统计抽象层将查询请求转化为可执行统计任务，例如按年龄段分组统计人数、按地区统计均值、按时间区间统计趋势。其基本原理是将复杂业务表转换为统一的分析视图，并在执行前进行字段过滤、条件匹配和分组聚合。这样做的好处是，隐私机制只需作用于统一统计结果，不必对每张表设计一套专属算法。通过这种抽象，系统能同时支持多种数据源，也更方便后续增加新字段、新维度和新统计指标。

差分隐私计算层

该层是系统最关键的部分，负责对统计结果进行隐私保护处理。常见机制包括拉普拉斯机制、指数机制和高斯机制，其中最适合统计发布的是拉普拉斯机制和高斯机制。拉普拉斯机制通过在真实统计值上叠加服从拉普拉斯分布的随机噪声，实现对计数、求和和均值等结果的扰动；其核心依据是全局敏感度，即单条数据变化可能对结果产生的最大影响。若敏感度越大，则所需噪声也越强。差分隐私计算层通常先根据查询类型估算敏感度，再根据隐私预算ε计算噪声尺度，最后输出扰动后的值。为了提升可用性，还会对输出做后处理，例如四舍五入、截断、区间修正和异常值过滤。该层的原理是使每条数据的存在与否对最终输出的影响都被随机噪声覆盖，从而达到概率意义上的隐私保护。

查询调度与预算管理层

该层负责控制查询频率、预算消耗和任务排队。差分隐私系统中，每次查询都会消耗一定预算，预算不能无限使用，因此调度与管理层要统计每个用户的剩余额度，并根据查询重要性决定是否放行。若预算充足，查询进入计算流程；若预算不足，则可返回提示、降低精度或要求重新申请权限。该层通常结合Redis实现高频读写，配合数据库保存长期预算记录。其基本原理是把隐私预算视作一种有限资源，像电量一样进行实时监测和扣减。通过预算管理，不仅可以防止恶意用户反复试探真实值，也可以让系统在多用户并发场景下保持规则一致，避免局部请求占用过多隐私资源。

前端展示与审计追踪层

该层负责把统计结果、隐私参数和审计信息直观呈现出来。Vue前端通常包含登录页、统计配置页、查询历史页、预算状态页和图表分析页，用户可以输入查询条件、选择数据集、设定预算并查看扰动结果。展示层不仅显示结果数值，还可显示误差范围、预算消耗、查询时间和数据来源说明，提升结果解释性。审计追踪则记录每次访问行为，包含请求时间、用户身份、查询参数、结果摘要、是否命中缓存和是否触发异常。其基本原理是让系统从“黑盒输出”转向“透明可追溯”，这样既方便排查问题，也方便合规检查。通过展示和审计结合，平台能够兼顾用户体验与治理要求，形成从输入到输出的完整闭环。

项目模型描述及代码示例

差分隐私噪声生成模块
package com.dp.demo.dp; // 声明差分隐私工具包，用于组织噪声生成相关类
import java.util.Random; // 导入随机数工具，用于生成拉普拉斯噪声
public class LaplaceMechanism { // 定义拉普拉斯机制类，封装噪声生成逻辑
    private final Random random = new Random(); // 创建随机数实例，用于后续采样
    public double addNoise(double value, double sensitivity, double epsilon) { // 定义对原始值添加差分隐私噪声的方法
        double scale = sensitivity / epsilon; // 根据敏感度和隐私预算计算噪声尺度
        double noise = sampleLaplace(scale); // 采样拉普拉斯噪声
        return value + noise; // 将噪声叠加到原始结果并返回
    } // 方法结束
    private double sampleLaplace(double scale) { // 定义拉普拉斯分布采样方法
        double u = random.nextDouble() - 0.5; // 将均匀分布转换到以0为中心的区间
        return -scale * Math.signum(u) * Math.log(1 - 2 * Math.abs(u)); // 使用反演法生成拉普拉斯噪声
    } // 方法结束
} // 类结束
这段代码实现了统计发布中最常用的基础扰动器。核心思想是先计算噪声尺度，再通过随机采样生成扰动量，最后把扰动叠加到真实统计值上。scale 反映了隐私保护强度，敏感度越高，或者预算越小，噪声越大。sampleLaplace 使用反演采样法，将均匀随机数映射为拉普拉斯分布随机数，从而避免直接依赖复杂统计库。实际部署中，这一模块可以用于计数、求和、平均值等统计结果的扰动，也是整个系统隐私保护链路中的核心基础组件。
统计结果服务模块
package com.dp.demo.service; // 声明服务包，用于统计结果处理
import com.dp.demo.dp.LaplaceMechanism; // 导入差分隐私噪声工具
import org.springframework.stereotype.Service; // 声明服务组件注解
@Service // 标记该类为Spring服务层组件
public class StatisticsService { // 定义统计服务类，负责统计值计算与扰动
    private final LaplaceMechanism laplaceMechanism = new LaplaceMechanism(); // 创建噪声工具实例
    public long noisyCount(long realCount, double epsilon) { // 定义带隐私保护的计数统计方法
        double noisyValue = laplaceMechanism.addNoise(realCount, 1.0, epsilon); // 对计数结果添加噪声，计数敏感度通常为1
        return Math.max(0, Math.round(noisyValue)); // 对结果进行非负裁剪并四舍五入，避免出现负数
    } // 方法结束
    public double noisyAverage(double realAverage, double sensitivity, double epsilon) { // 定义带隐私保护的均值统计方法
        return laplaceMechanism.addNoise(realAverage, sensitivity, epsilon); // 对均值结果直接添加噪声
    } // 方法结束
} // 类结束
这段代码负责把真实统计值转化为可发布结果。计数查询是统计系统最常见的任务，因此单独提供 noisyCount 方法更符合业务使用习惯。对计数结果做非负裁剪，是为了避免噪声导致负数这种不合理输出。均值统计使用 noisyAverage，其敏感度通常需要根据字段范围计算，例如年龄、消费金额、评分等，范围不同会影响噪声强度。服务层把算法细节封装起来，接口调用方只需要传入真实结果、敏感度和预算即可，这样便于复用，也便于后续扩展到分位数、比例、TopK 等统计任务。
统计请求数据模型
package com.dp.demo.model; // 声明数据模型包，用于封装查询参数
public class QueryRequest { // 定义查询请求实体，用于接收前端提交的统计参数
    private String datasetName; // 数据集名称，用于标识统计来源
    private String metric; // 统计指标，例如count、average、sum
    private String dimension; // 分组维度，例如地区、年龄段、性别
    private String condition; // 查询条件，用于过滤目标数据
    private double epsilon; // 隐私预算参数，用于控制噪声强度
    public String getDatasetName() { return datasetName; } // 获取数据集名称
    public void setDatasetName(String datasetName) { this.datasetName = datasetName; } // 设置数据集名称
    public String getMetric() { return metric; } // 获取统计指标
    public void setMetric(String metric) { this.metric = metric; } // 设置统计指标
    public String getDimension() { return dimension; } // 获取分组维度
    public void setDimension(String dimension) { this.dimension = dimension; } // 设置分组维度
    public String getCondition() { return condition; } // 获取查询条件
    public void setCondition(String condition) { this.condition = condition; } // 设置查询条件
    public double getEpsilon() { return epsilon; } // 获取隐私预算
    public void setEpsilon(double epsilon) { this.epsilon = epsilon; } // 设置隐私预算
} // 类结束
这个实体类用于承载前端提交的统计请求信息。数据集名称、统计指标、分组维度、过滤条件和隐私预算共同构成一次查询的核心参数。把参数集中封装后，后端接口可以直接接收对象，而不需要逐个接收零散字段，代码会更清晰，也更便于做统一校验。实际项目中还可以继续扩展时间范围、页码、排序方式、导出格式等字段。对于差分隐私系统而言，epsilon 是最敏感的参数之一，因此必须通过接口校验限制取值范围，避免过小或过大导致不合理的隐私风险与结果偏差。
查询控制器模块
package com.dp.demo.controller; // 声明控制器包，用于处理HTTP请求
import com.dp.demo.model.QueryRequest; // 导入查询请求实体
import com.dp.demo.service.StatisticsService; // 导入统计服务类
import org.springframework.web.bind.annotation.PostMapping; // 导入POST映射注解
import org.springframework.web.bind.annotation.RequestBody; // 导入请求体注解
import org.springframework.web.bind.annotation.RequestMapping; // 导入请求路径注解
import org.springframework.web.bind.annotation.RestController; // 导入REST控制器注解
import java.util.HashMap; // 导入HashMap用于返回结果
import java.util.Map; // 导入Map接口用于组织响应数据
@RestController // 标记该类为REST接口控制器
@RequestMapping("/api/statistics") // 定义接口统一前缀
public class StatisticsController { // 定义统计控制器类
    private final StatisticsService statisticsService; // 注入统计服务对象
    public StatisticsController(StatisticsService statisticsService) { // 构造方法注入服务
        this.statisticsService = statisticsService; // 保存服务实例
    } // 构造方法结束
    @PostMapping("/query") // 定义统计查询接口
    public Map<String, Object> query(@RequestBody QueryRequest request) { // 接收前端提交的查询请求
        long realCount = 128; // 这里模拟真实统计值，实际项目中应来自数据库聚合
        long noisyCount = statisticsService.noisyCount(realCount, request.getEpsilon()); // 根据预算生成扰动后的计数结果
        Map<String, Object> result = new HashMap<>(); // 创建返回对象
        result.put("datasetName", request.getDatasetName()); // 返回数据集名称
        result.put("metric", request.getMetric()); // 返回统计指标
        result.put("dimension", request.getDimension()); // 返回分组维度
        result.put("realCount", realCount); // 返回真实值，实际系统中可仅限管理员查看
        result.put("noisyCount", noisyCount); // 返回差分隐私结果
        result.put("epsilon", request.getEpsilon()); // 返回预算信息
        return result; // 输出响应结果
    } // 方法结束
} // 类结束
该控制器演示了统计查询接口的典型写法。前端提交请求后，后端接收 QueryRequest，再调用服务层计算差分隐私结果，最终将结果组织为 JSON 返回。这里用 realCount 模拟真实统计值，实际项目中应通过数据库查询、分组聚合、条件筛选得到。控制器的价值在于将前端请求与后端计算解耦，便于后续加入鉴权、预算校验、日志记录和异常处理。对于真实系统，还可以在返回中增加误差范围、查询耗时、查询编号等字段，增强可解释性和审计能力。
Vue查询页面模块
<template> <!-- 定义Vue页面模板区域 -->
  <div class="page"> <!-- 页面根容器 -->
    <el-card> <!-- 使用Element Plus卡片容器 -->
      <el-form :model="form" label-width="120px"> <!-- 定义查询表单并绑定数据模型 -->
        <el-form-item label="数据集名称"> <!-- 数据集输入项 -->
          <el-input v-model="form.datasetName" /> <!-- 双向绑定数据集名称 -->
        </el-form-item> <!-- 表单项结束 -->
        <el-form-item label="统计指标"> <!-- 统计指标输入项 -->
          <el-select v-model="form.metric" placeholder="请选择"> <!-- 下拉选择统计指标 -->
            <el-option label="count" value="count" /> <!-- 计数统计选项 -->
            <el-option label="average" value="average" /> <!-- 均值统计选项 -->
          </el-select> <!-- 下拉选择结束 -->
        </el-form-item> <!-- 表单项结束 -->
        <el-form-item label="隐私预算"> <!-- 隐私预算输入项 -->
          <el-input v-model="form.epsilon" type="number" /> <!-- 输入epsilon值 -->
        </el-form-item> <!-- 表单项结束 -->
        <el-form-item> <!-- 操作按钮区域 -->
          <el-button type="primary" @click="submitQuery">查询</el-button> <!-- 点击后提交查询 -->
        </el-form-item> <!-- 表单项结束 -->
      </el-form> <!-- 表单结束 -->
    </el-card> <!-- 卡片结束 -->
    <el-card style="margin-top: 20px;" v-if="result"> <!-- 结果展示卡片 -->
      <div>真实值: {{ result.realCount }}</div> <!-- 展示真实值 -->
      <div>扰动值: {{ result.noisyCount }}</div> <!-- 展示差分隐私结果 -->
      <div>预算: {{ result.epsilon }}</div> <!-- 展示预算值 -->
    </el-card> <!-- 结果卡片结束 -->
  </div> <!-- 页面根容器结束 -->
</template> <!-- 模板结束 -->
<script setup> <!-- 使用Vue3组合式API -->
import { reactive, ref } from 'vue' // 导入响应式工具
import axios from 'axios' // 导入请求库
const form = reactive({ datasetName: '', metric: 'count', epsilon: 1.0 }) // 定义表单数据模型
const result = ref(null) // 定义查询结果引用
const submitQuery = async () => { // 定义提交查询的方法
  const resp = await axios.post('/api/statistics/query', form) // 向后端发送查询请求
  result.value = resp.data // 将返回结果赋值到页面
} // 方法结束
</script> <!-- 脚本结束 -->
<style scoped> <!-- 定义组件样式范围 -->
.page { padding: 24px; } <!-- 页面内边距 -->
</style> <!-- 样式结束 -->
该页面完成了前端查询入口、参数填写和结果展示功能。用户通过表单输入数据集名称、统计指标和隐私预算，点击查询后，页面将请求发送到后端接口，并把响应结果显示在卡片中。实际项目中还可以增加分组维度、条件筛选、图表展示和查询历史列表。前端的重点不只是展示值，更要让用户理解差分隐私结果与真实值之间存在偏差，这是系统可解释性的重要组成部分。通过 Vue 与后端接口配合，整个查询链路清晰直观，适合实际业务部署。
预算校验模块
package com.dp.demo.service; // 声明服务包，用于预算管理
import org.springframework.stereotype.Service; // 导入服务注解
import java.util.concurrent.ConcurrentHashMap; // 导入并发哈希表用于记录预算
import java.util.Map; // 导入Map接口
@Service // 标记为服务组件
public class BudgetService { // 定义预算服务类
    private final Map<String, Double> budgetMap = new ConcurrentHashMap<>(); // 使用并发容器保存用户预算
    public void initBudget(String userId, double budget) { // 初始化用户预算
        budgetMap.put(userId, budget); // 写入预算值
    } // 方法结束
    public boolean consumeBudget(String userId, double cost) { // 扣减预算的方法
        Double current = budgetMap.get(userId); // 获取当前预算
        if (current == null || current < cost) { // 判断预算是否充足
            return false; // 预算不足时直接拒绝
        } // 条件结束
        budgetMap.put(userId, current - cost); // 扣减预算并保存
        return true; // 返回扣减成功
    } // 方法结束
    public Double getBudget(String userId) { // 查询当前预算
        return budgetMap.get(userId); // 返回预算值
    } // 方法结束
} // 类结束
这个模块用于管理差分隐私系统的核心资源，也就是隐私预算。每次查询都要根据查询成本扣减预算，如果预算不足，系统应拒绝或者降级处理。这里使用并发容器存储预算，适合演示和单机场景；实际部署时通常会结合Redis和数据库做持久化与分布式同步。预算管理让差分隐私从单次算法升级为可运营机制，避免同一用户通过高频查询逐步逼近真实值。通过该模块，系统可以实现剩余预算查询、预算预警和预算耗尽告警等功能。