thinkphp模型字段动态脱敏必须在控制器层按角色实时计算，不可依赖getattr或全局配置；应通过hidden+append组合，配合带角色上下文的获取器实现，确保缓存、关联和json输出正确。
ThinkPHP 模型字段动态脱敏不能靠“全局配置切换”，必须在查询时按角色实时计算掩码逻辑——否则缓存、关联查询、JSON 输出都会出错。
脱敏逻辑不能写在 getAttr 里
很多人把脱敏代码塞进模型的 getAttr 方法，比如对 phone 字段加星号。这看似方便，但实际会破坏数据一致性：
-
getAttr在序列化（toArray()、toJson()）、关联预加载、缓存写入时都会触发，导致脱敏后数据被误存 - 同一个字段在不同角色请求中本该返回不同掩码（如管理员看
138****1234，普通用户看138****xxx），但getAttr没有上下文，拿不到当前用户角色 - 数据库写入前如果也用了
setAttr做反向处理，极易把星号存进库
用 hidden + append 组合做角色感知脱敏
真正可控的方式是：先隐藏原始字段，再按需追加脱敏后的虚拟字段。关键在于脱敏逻辑要能拿到当前用户信息：
- 在控制器或服务层获取当前用户角色（例如从
think\facade\Auth或request()->user()） - 调用模型的
hidden(['phone', 'id_card'])屏蔽原始敏感字段 - 根据角色决定追加哪个脱敏字段：
append(['phone_masked', 'id_card_masked'])，而这些字段的获取器（getPhoneMaskedAttr）内部可读取角色并返回对应掩码 - 注意：
getXXXAttr获取器里不要硬编码规则，应查配置表或走策略类，方便后期扩展
示例片段：
public function getPhoneMaskedAttr($value, $data) {<br> $role = request()->user()?->role ?? 'guest';<br> $phone = $data['phone'] ?? '';<br> return match($role) {<br> 'admin' => substr($phone, 0, 3) . '****' . substr($phone, -4),<br> 'staff' => substr($phone, 0, 3) . '****' . str_repeat('x', 4),<br> default => '****' . str_repeat('x', 8),<br> };<br>}
withAttr 不适合多级掩码场景
ThinkPHP 6.1+ 的 withAttr 看似能统一处理字段格式，但它只支持静态回调，不接收模型实例或上下文参数：
- 你无法在
withAttr(['phone' => function($val) { ... }])里访问当前用户角色 - 它作用于整个查询生命周期，一旦设置就无法按请求动态变更，和“不同角色不同掩码”需求根本冲突
- 若强行在里面调用
Auth::user()，在 CLI 或队列环境中会报错或返回空 - 更隐蔽的问题：关联模型（如
User::with('profile')）里的withAttr是独立执行的，主模型和关联模型可能拿到不同角色态
JSON 输出前务必检查字段是否已被脱敏过
最容易被忽略的一点：前端可能多次请求同一接口，后端又用了响应缓存（如 Redis 缓存了 json_encode($user) 结果），那脱敏结果就被固化了。
- 脱敏必须发生在缓存生成之后、输出之前——也就是控制器返回前最后一步
- 避免在模型
toJson()中做脱敏，因为toJson()可能被中间件、日志、异常捕获等环节提前调用 - 推荐做法：控制器中统一调用一个
maskUserFields($user, $role)工具函数，只处理本次响应需要的字段，且不修改原模型实例 - 如果用了 API 资源类（Resource），脱敏逻辑必须放在
toArray()内，且每次请求都重建 Resource 实例
脱敏不是加几个星号的事，核心在于「谁在什么时候看到什么」——模型本身不该知道角色，控制器要负责把角色决策传递下去，而任何试图把脱敏逻辑下沉到模型底层的做法，都会在缓存、关联、序列化环节突然翻车。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
