mysql 8.0无内置mask()函数，真实脱敏须用left()+right()+concat()组合并显式处理null与格式清洗，而非依赖不存在的函数或不可控的replace()。
MASK() 函数根本不存在，REGEXP_REPLACE() 也不是脱敏专用工具，更不能替代字段级逻辑控制。
mysqldump 不支持字段级脱敏，必须提前构造脱敏结果
mysqldump 只导出原始数据或视图定义，不会自动修改字段内容。直接对 dump 文件用 sed 扫描替换，极易误伤时间戳、订单号、主键等非敏感字段。
- 只对明确业务字段脱敏：如
user.phone、customer.id_card，不要依赖正则泛匹配 - 优先用视图封装脱敏逻辑：
CREATE VIEW user_masked AS SELECT id, CONCAT(IFNULL(LEFT(phone, 3), ''), '****', IFNULL(RIGHT(phone, 4), '')) AS phone FROM user - 再对视图执行
mysqldump -u backup -p mydb user_masked > user_masked.sql - 避免
--skip-extended-insert后用sed处理——多值 INSERT 被拆行后，sed定位极易错位
存储过程中必须用 LEFT+RIGHT+CONCAT 组合，且显式处理 NULL
REPLACE(phone, '1', '*') 这类写法完全不可控：它会干掉所有数字 1，包括区号、尾号甚至身份证末位 X 前的 1；对 NULL 输入返回 NULL，导致整列脱敏后为空。
- 手机号标准写法：
CONCAT(IFNULL(LEFT(TRIM(phone), 3), ''), '****', IFNULL(RIGHT(TRIM(phone), 4), '')) - 身份证推荐写法：
CONCAT(IFNULL(LEFT(id_card, 6), ''), REPEAT('*', 8), IFNULL(RIGHT(id_card, 4), ''))（避开 15/18 位长度不一致和末位 X） - 邮箱掩码示例：
CONCAT(IFNULL(LEFT(email, 1), ''), '***', IFNULL(SUBSTRING(email, LOCATE('@', email)), '')) - 所有字段必须包裹
IFNULL()或COALESCE()，否则空值会导致拼接结果为NULL
REGEXP_REPLACE() 在存储过程里有版本和权限双重陷阱
REGEXP_REPLACE() 仅在 MySQL 8.0.4+ 可用，5.7 环境下直接报错 FUNCTION REGEXP_REPLACE does not exist；即使版本达标，在存储过程中调用还需显式声明 SQL SECURITY DEFINER，否则常因权限不足失败。
- 正则中反斜杠必须双写：
'\d'才表示数字，单写'd'会被当普通字符处理 - 不能在
WHERE子句中使用它做条件过滤，否则索引失效，查询退化为全表扫描 - 真实数据常含括号、空格、短横线（如
(010)1234-5678），得先清洗：REPLACE(REPLACE(phone, '-', ''), ' ', '')
IFNULL()、误用 REPLACE()、或跨版本迁移没验证函数可用性，备份文件里就会混入明文或空值，而这种问题往往上线后才暴露。
