不能用触发器实现脱敏后写入供查询使用，仅适用于日志表等放弃原始值场景；必须用before insert/update触发器改写new字段，禁用非确定函数，严格校验长度与null，并注意身份证掩码规则及字符集影响。
不能用触发器实现“脱敏后写入”再供查询使用——它只适合日志表、宽表等明确放弃原始值的场景。
BEFORE INSERT/UPDATE 是唯一能改写数据的时机
只有 BEFORE INSERT 和 BEFORE UPDATE 触发器允许直接赋值给 NEW.xxx 字段，从而在写入前把明文替换成脱敏值。AFTER 类型触发器无法修改当前行数据，MySQL 会直接报错 ERROR 1442。
- 必须用
SET NEW.phone = CONCAT(LEFT(NEW.phone, 3), '****', RIGHT(NEW.phone, 4))这类确定性字符串函数，禁用RAND()、NOW()等非确定函数 - 加长度校验：比如手机号要
IF LENGTH(NEW.phone) >= 11 THEN ... END IF，否则空值或短字符串会导致截取异常 - 注意 NULL 比较：用
IF NEW.phone IS NOT NULL判断，别直接LENGTH(NEW.phone)，会报错 - 字段字符集为
utf8mb4时，LEFT()/RIGHT()按字符计数，纯数字无影响；但含 emoji 就可能出错
身份证号掩码必须保留末位 X，且避开出生日期段
18 位身份证中第 7–14 位是出生日期，属于强敏感字段，不能只简单中间掩 8 位——得跳过这 8 位，从第 15 位开始取最后 1 位（可能是 X）。
- 正确写法：
SET NEW.id_card = CONCAT(LEFT(NEW.id_card, 6), '********', RIGHT(NEW.id_card, 1)) - 错误写法：
SUBSTRING(NEW.id_card, 1, 6) + '********' + SUBSTRING(NEW.id_card, -1)——+在 MySQL 中是数值加法，会导致整个字段转成 0 - 必须判断长度和 NULL：
IF NEW.id_card IS NOT NULL AND LENGTH(NEW.id_card) = 18 THEN ... - 别用自定义函数（如
mask_idcard()）却不声明DETERMINISTIC，主从复制会中断
千万别在核心业务表上这么干
一旦触发器把 NEW.phone 改成 138****1234，原始手机号就永久丢失。审计、合规回溯、下游同步、解密还原全部失效。
- 真正需要保留明文的表（如用户主表），触发器只该做清洗（如去空格、统一格式），而非掩码
- 脱敏展示必须走视图：
CREATE VIEW users_safe AS SELECT id, name, CONCAT(LEFT(phone,3),'****',RIGHT(phone,4)) AS phone FROM users - 如果权限没隔离好，用户有原表
SELECT权限，就能绕过视图直接查到明文 - 触发器里做掩码 ≠ 查询脱敏，这是两个完全不同的目标，混用等于主动放弃数据可追溯性
最常被忽略的一点：触发器改的是写入值，不是读取逻辑。你写了掩码，就再也拿不回原始数据了——这不是 bug，是设计使然。要不要脱敏写入，本质是在“可审计性”和“省事”之间做选择，而多数合规场景根本没得选。
