能，但仅限于写入时预处理——即数据入库前用before insert触发器将手机号改为掩码格式（如138**5678），需满足长度校验、确定性函数和null防护；不可用于查询脱敏、权限分级或可逆加密。
可以，但仅限于写入时预处理——也就是数据进库前就改成掩码格式；不能用于查询时动态脱敏，更不能靠它实现权限分级或可逆加密。
BEFORE INSERT 触发器能做手机号掩码吗
能，但必须满足三个条件：字段长度校验、确定性函数、NULL 值防护。
- 用
REGEXP '^[0-9]{11}$'或LENGTH(NEW.phone) = 11先判断，避免对空值或短号执行LEFT()报错 - 拼接必须用
CONCAT(LEFT(NEW.phone, 3), '****', RIGHT(NEW.phone, 4))，别用REPLACE()——它会误替换中间重复数字 - 如果字段允许 NULL，得先写
IF NEW.phone IS NOT NULL THEN ... END IF，否则LEFT(NULL, 3)返回 NULL，整个字段变空
为什么 INSTEAD OF SELECT 在 SQL Server 里报错
语法根本不支持。SQL Server 的 INSTEAD OF 触发器只响应 INSERT、UPDATE、DELETE，对 SELECT 不触发，也不允许定义。
- 写
CREATE TRIGGER ... INSTEAD OF SELECT ON table_name直接报错：Incorrect syntax near 'SELECT' - 想“查的时候自动脱敏”，唯一可行路径是建视图，把
STUFF(phone, 4, 4, '****')或CASE WHEN ... THEN ... ELSE ... END写进SELECT列表里 - 视图里禁用
NOW()、RAND()等非确定函数，否则 MySQL 创建视图时会报View's SELECT contains a non-deterministic function
主库用触发器脱敏，从库会同步掩码值吗
会，而且是原样同步。主库触发器改了什么，binlog 就记什么，从库照单全收。
- 比如主库
BEFORE INSERT把13812345678改成138****5678，这个结果直接写进 binlog，从库也存138****5678 - 想让主库存明文、从库只看脱敏值？触发器做不到。得换方案：主库保留原始字段，从库用
GENERATED COLUMN或视图生成掩码列 - 千万别在从库也建同名触发器试图“二次处理”，不设
SQL_LOG_BIN = 0会导致循环写入、复制中断
真正容易被忽略的点是：触发器一旦修改了敏感字段，原始值就永久丢失。审计回溯、风控比对、密钥轮换解密——这些需求都会落空。所以除非业务明确不需要原始值（比如日志表），否则别用触发器做掩码，老老实实用视图+权限控制。
