eloquent masked casting（asmaskedstring）不能自动脱敏，仅在模型序列化为数组/json时将字符串字段替换为*，数据库仍存明文，不加密、不哈希、纯展示层遮盖。
什么是 Eloquent Masked Casting，它真能自动脱敏？
不能。Eloquent 的 MaskedCast（准确说是 AsMaskedString）不是“自动脱敏”，它只在模型序列化为数组/JSON 时，把字段值替换成固定掩码（比如 ***），数据库里存的仍是明文。它不加密、不哈希、不校验，纯属展示层遮盖——别指望靠它防数据泄露。
适用场景很窄：仅用于 API 返回或 Blade 渲染时临时隐藏敏感字段（如手机号中间四位、身份证后四位），且你**完全信任应用层逻辑不直接暴露原始属性**。
- 常见错误现象：
$user->phone在控制器里直接 echo 还是明文，只有$user->toArray()或response()->json($user)里才变成*** - 它不改变模型实例的属性值，
$user->getAttribute('phone')拿到的永远是原始值 - 不支持自定义掩码逻辑（比如只掩码第4–7位），硬编码为全星号
怎么给字段加 MaskedCast？注意 Laravel 版本和类型匹配
从 Laravel 9.25+ 开始内置 AsMaskedString，低版本需手动实现或升级。它只接受字符串类型字段，对 integer、datetime 等会静默失效或报错。
- 必须在模型的
$casts数组中声明：'phone' => 'masked'（Laravel ≥9.25）或'phone' => \Illuminate\Database\Eloquent\Casts\AsMaskedString::class - 字段在数据库中必须是字符串类型（
VARCHAR），否则getAttribute()可能返回 null 或类型转换异常 - 如果字段允许为 null，
AsMaskedString会把null转成空字符串再掩码，结果是***而非null—— 这可能破坏前端判空逻辑
示例：
protected $casts = [
'phone' => 'masked',
'id_card' => \Illuminate\Database\Eloquent\Casts\AsMaskedString::class,
];
为什么有时候掩码没生效？检查这三处硬性限制
MaskedCast 生效有严格前提，漏掉任一环都白配。
- 模型必须调用
toArray()、toJson()或经由响应自动序列化；直接访问属性（$user->phone）、dd($user)、日志打印都不会触发 - 字段不能被
append中的访问器（accessor）覆盖，例如定义了getPhoneAttribute()，就会绕过 casting - 使用
select('phone')查询时，若没加载完整模型（即非 Eloquent 对象而是集合或数组），casting 完全不运行
典型误用：
// ❌ 错误：手动构造数组，跳过模型序列化流程 return ['phone' => $user->phone]; // 明文 // ✅ 正确：让模型自己处理 return $user; // 自动触发 casting
想做真脱敏？MaskedCast 不够，得换思路
MaskedCast 是个“视觉补丁”，不是安全方案。真正需要脱敏的字段（如身份证、银行卡号），必须在入库前加密，查询时解密，或用数据库级脱敏（如 MySQL 8.0+ 的 DATA_MASKING 插件）。
- 别用
MaskedCast处理密码、token、密钥类字段——它们该用hidden或appends配合访问器控制输出 - 如果需部分掩码（如手机号显示 138****1234），必须手写访问器：
getPhoneAttribute()，并确保在所有输出路径统一调用 - API 响应层建议用资源类（
JsonResource）集中控制字段格式，比依赖 casting 更可控、更易测试
复杂点在于：脱敏逻辑一旦分散在模型、资源、访问器、查询构造器里，就容易漏掉某条路径。最稳的方式是，把脱敏当作「响应契约」的一部分，只在最终输出前做一次，而不是寄希望于某个 casting 自动兜底。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
