不能用触发器实现动态数据屏蔽（ddm），因为sql server不支持select触发器，触发器仅响应insert/update/delete操作；ddm必须通过alter table...add masked with在列定义中声明，由查询引擎自动应用屏蔽规则。
不能用触发器实现动态数据屏蔽（DDM）——SQL Server 根本不支持 SELECT 触发器，所有试图在触发器里“改写查询结果”或“拦截读取”的做法都注定失败。
为什么触发器对SELECT完全无效
SQL Server 不提供 FOR SELECT、AFTER SELECT 或 INSTEAD OF SELECT（除视图外）语法。你写 CREATE TRIGGER ... ON table FOR SELECT 会直接报错：ERROR: syntax error at or near "SELECT"。这不是手误，是引擎层不支持。触发器只响应 INSERT、UPDATE、DELETE 三类 DML 操作，和数据读取行为无关。
常见误判：有人在 AFTER INSERT 里把手机号字段 UPDATE 成 '***' + RIGHT(inserted.phone, 4)，这叫“永久覆盖原始值”，不是屏蔽——DBA 直查表就全暴露，且无法按角色差异化显示（客服看后4位、主管看全量）。
真正该用的方案：DDM（Dynamic Data Masking）
SQL Server 2016+ 原生支持列级动态屏蔽，规则写在列定义上，查询时由执行引擎自动应用，不改原始数据、不依赖应用逻辑、不需重写 SQL。
-
DEFAULT()：字符串变XXXX，数字变0，日期变1900-01-01 -
EMAIL()：保留首字母和 @ 后域名，如j***@example.com -
PARTIAL(1,"xxx",4)：开头显1位、中间掩3位、末尾显4位 -
RANDOM(1, 100)：每次查询返回不同随机数（仅限数值列）
启用只需一条语句：ALTER TABLE Customers ALTER COLUMN Phone ADD MASKED WITH (FUNCTION = 'partial(0,"XXX-XXX-",4)');
权限控制必须显式授予 UNMASK
被屏蔽列对普通 SELECT 用户自动生效，但 DBA 或特定角色需要看到明文，就得单独授权：
- 授予查看明文权限：
GRANT UNMASK ON Customers(Phone) TO [role_analyst]; - 回收权限：
REVOKE UNMASK ON Customers(Phone) FROM [role_support]; - 注意：
CONTROL权限（如db_owner）隐含UNMASK，无需额外授
别指望触发器里调 IS_MEMBER() 或 SESSION_CONTEXT() 去动态切掩码逻辑——DDM 的策略是静态绑定到列的，角色判断由权限系统完成，不是运行时计算。
容易被忽略的关键点
DDM 不是万能锁：它只作用于 SELECT 查询结果，拦不住有 UNMASK 权限的人，也防不住用户连上数据库后自己写 SELECT * FROM sys.columns 查结构、再绕过视图直查基表。它必须和 RLS（行级安全）、列级 GRANT、加密、审计日志一起用。另外，应用如果用了连接池，且没在每次请求前重设 SESSION_CONTEXT，那 DDM 虽然不依赖它，但其他基于会话的安全策略可能已失效——这点常被当成 DDM “失灵”。
