地址 CSV 一開啟就出現公式警告？先檢查 =、+、-、@ 開頭的儲存格
若外部地址 CSV 開啟時出現公式、連結或安全警告，先關閉，不要按「啟用內容」，也不要為了看結果而執行可疑儲存格。CSV 本身是文字，但試算表可能把以等號、加號、減號、@ 等字元開頭的欄位解讀成公式；地址、公司名或配送備註只要來自外部，就不應先假設可信。
先隔離而不是直接修字
虛構測試資料中，地址欄可能有 =1+1，備註可能有 @contact，門牌也可能合法含連字號。危險判斷不能只做「看見減號就刪除」，因為 10-1號 是可能的地址內容，符號位在欄位開頭或分隔後才是需要特別檢查的情況。
| 發現 | 立即動作 | 不要做 |
|---|---|---|
| 儲存格顯示公式結果 | 關閉檔案並保留原件 | 點進公式逐一執行 |
| 出現外部連結提示 | 不更新連結，交安全人員 | 為完成匯入而全部允許 |
| 地址以 + 或 - 開頭 | 先視為外部輸入候選 | 無條件刪符號 |
| 來源不明的 CSV | 放入隔離位置 | 上傳到公開試算表測試 |
安全處理流程
- 保存收到的原檔、來源、時間與檔案名稱，不轉寄給更多人測試。
- 以不執行公式的純文字方式檢視欄位，確認可疑字元在哪些列。
- 將姓名、電話等不必要欄移除後，建立最小測試副本。
- 由組織的資訊安全或資料負責人決定目標試算表的安全轉義方式。
- 用與正式環境相同的程式讀回測試；不同試算表對轉義的行為可能不同。
- 保留原值與顯示值，不要讓安全處理反過來改壞合法地址。
- 無法判斷的列標記錯誤或無法確認，停止進入後續批次作業。
OWASP 特別提醒，沒有一種轉義方式能對所有試算表與下游用途通用；某些方法在 Excel 重新儲存、再開啟後可能失效。因此文章不能提供一句「前面加單引號就永久安全」的保證，實際處理要依接收系統測試。
確認檔案安全後，才把純地址欄交給批次地址整理工具；需要先遮除不必要資訊可用地址遮罩工具。批次欄位安排見Excel 地址批次整理指南。安全清理與地址查證是兩件事：檔案不執行公式，不代表其中門牌存在或內容正確。
完成安全匯入後若還要排除重複列，再依重複地址名單整理指南處理；不要把安全轉義與地址去重混成一步。
匯出端和開啟端都要防護
匯出端應把外部輸入視為文字，依目標試算表的安全做法處理可能被解讀為公式的開頭；開啟端仍要在受控環境檢查，不啟用巨集、外部連結或可疑內容。單純在最前面加一個字元不一定適用所有軟體，因為不同應用程式的解析與再匯出行為可能不同，必須對實際接收工具做往返測試。
測試組應包含等號、加號、減號、@、前導空白後再接公式字元，以及合法的 10-1號。驗收重點是可疑值以純文字顯示、合法地址沒有被破壞、重新匯出後防護仍存在。不要把公式結果複製貼上成值後丟掉原始證據，安全人員可能需要判斷來源和影響。
發現可疑列時
先用 record_id 隔離該列及同一來源批次，保存原檔雜湊、取得時間和未開啟副本。再檢查其他欄位，因為惡意內容可能藏在姓名、公司、備註或地址以外的位置。確認規則後產生安全工作副本，原件保持唯讀。
處理完成不代表地址內容正確。安全轉義只防止試算表執行，門牌、行政區與收件人仍需依原本資料品質流程覆核。若無法確定目標軟體如何解析，就不要交付可直接開啟的 CSV，改用組織核准的安全格式與流程。