MySQL 8.0+ 支持用 WITH + JOIN 实现安全更新，避免 ERROR 1093；需双保险过滤（子查询内+UPDATE外层WHERE），并用 CASE+SUBSTRING 组合脱敏确保兼容性与健壮性。
子查询不能直接UPDATE目标表，必须用JOIN或CTE驱动更新
MySQL 会报 ERROR 1093: You can't specify target table 't' for update in FROM clause，PostgreSQL 则直接语法拒绝。这不是写法问题，是SQL标准限制：UPDATE语句的FROM子句里不能出现被更新的同一张表。
真正能跑通的做法是把脱敏逻辑封装进子查询或CTE，再跟原表JOIN——不是“在UPDATE里写子查询”，而是“用子查询结果去驱动UPDATE”。
- MySQL 8.0+ 推荐用
WITH+JOIN，语义清晰且避免临时表歧义 - MySQL 5.7 只能靠派生表：
SELECT * FROM (SELECT id, CONCAT(...) AS masked_phone FROM users WHERE ...) AS tmp - PostgreSQL 允许
UPDATE ... FROM (SELECT ...) AS sub，但别名必须显式绑定，否则列解析失败
CASE WHEN + 字符串函数比正则更稳，尤其要处理空值和格式异常
别一上来就用 REGEXP_REPLACE。MySQL 5.7 不原生支持，8.0 才加；PostgreSQL 虽有但性能差、语法版本差异大。用 SUBSTRING + CONCAT 组合，兼容性好、逻辑透明、调试直观。
关键点是：CASE 的判断条件必须覆盖 NULL、空字符串、非法长度三种情况，否则漏脱敏或报错。
- 手机号脱敏（保留前3后4）：
CASE WHEN phone IS NOT NULL AND TRIM(phone) != '' AND LENGTH(TRIM(phone)) = 11 THEN CONCAT(LEFT(TRIM(phone), 3), '****', RIGHT(TRIM(phone), 4)) ELSE '****' END - 身份证脱敏（保留前6后4）：
CASE WHEN id_card IS NOT NULL AND TRIM(id_card) REGEXP '^[0-9]{17}[0-9Xx]$' THEN CONCAT(LEFT(TRIM(id_card), 6), '******', RIGHT(TRIM(id_card), 4)) ELSE '********' END - TRIM() 必须加，否则开头空格会导致
LEFT(phone, 3)截出空值
UPDATE中WHERE条件位置错，会导致全表误更新
常见错误是只在子查询里加过滤，外层UPDATE没约束。比如子查询只选了 status = 'active' 的用户，但UPDATE没写WHERE，结果所有用户都被覆盖成NULL或默认值。
正确做法是双保险：子查询内部过滤 + UPDATE外层显式关联条件 + 业务条件。
- 错误写法：
UPDATE users u JOIN (SELECT id FROM users WHERE status = 'active') tmp ON u.id = tmp.id SET u.phone = ...→ 外层无WHERE，可能误改其他行 - 正确写法：
UPDATE users u JOIN (SELECT id, ... FROM users WHERE status = 'active') tmp ON u.id = tmp.id SET u.phone = tmp.masked_phone WHERE u.status = 'active' - 如果表很大，务必加
TOP (10000)（SQL Server）或LIMIT（MySQL/PostgreSQL），并分批执行，防锁表和事务日志暴涨
视图里用CASE脱敏时，权限控制比逻辑更重要
视图本身不存数据，每次查都实时计算，所以脱敏逻辑只要写对，结果就稳定。但很多人忽略一点：视图只是“一层壳”，如果用户仍有基表的 SELECT 权限，他完全可以绕开视图直接查原始字段。
脱敏生效的前提是权限隔离，不是语法隔离。
- 必须先
REVOKE SELECT ON users FROM 'dev_user'@'%'，再GRANT SELECT ON user_masked_view TO 'dev_user'@'%' - MySQL 8.0+ 建议用角色打包权限：
CREATE ROLE dev_role; GRANT SELECT ON user_masked_view TO dev_role; - JSON字段里的敏感信息（如
meta->>'phone'）无法被视图自动识别，必须显式提取+CASE处理，否则原样返回
嵌套查询脱敏真正难的不是拼函数，而是让每一步的过滤边界清晰、权限路径可控、大表操作可中断——这些地方一旦松动，脱敏就从安全措施变成风险放大器。
