不能直接用select *封装敏感表访问，因为会暴露表结构、引发sql注入风险，且无法实现字段脱敏与行级过滤；必须显式列出字段、动态加where条件、用left/right/concat脱敏、白名单校验角色参数，并确保definer账号最小权限。
为什么不能直接用 SELECT * 封装敏感表访问
直接把 SELECT * 包进存储过程，等于把权限裸露给调用者——哪怕加了 SQL SECURITY DEFINER，只要没显式限制字段、没做行级过滤，调用者仍可能通过 INFORMATION_SCHEMA.COLUMNS 推出结构，或靠报错信息反推字段名。更危险的是，一旦过程里用了动态 SQL 拼接列名，又没白名单校验，就等于开了 SQL 注入后门。
真实生产中，敏感表（如 user_profile、payment_record）的访问必须满足两个硬约束：字段可见性可控、行可见性可配。这两点靠裸写查询根本做不到。
- 字段层面：只暴露业务必需字段，身份证、手机号、邮箱等一律脱敏后返回
- 行层面：按调用者身份（如
@caller_role参数）动态加WHERE条件，比如department_id = @dept_id或is_public = 1 - 禁止在过程体中使用
SELECT *，所有字段必须显式列出并做类型对齐（避免隐式转换导致索引失效）
怎么安全地封装手机号/身份证等字段的脱敏逻辑
MySQL 8.0 没有 MASK() 函数，别信网上抄来的“一键掩码”。真正在存储过程中稳定脱敏，只能靠 LEFT() + RIGHT() + CONCAT() 组合，并且必须处理空值和格式脏数据。
例如手机号脱敏，不能写成 REPLACE(phone, SUBSTRING(phone,4,4), '****')——这会因长度不一致或含括号/空格直接崩。正确写法是：
CONCAT( IFNULL(LEFT(REPLACE(REPLACE(TRIM(phone), '-', ''), ' ', ''), 3), ''), '****', IFNULL(RIGHT(REPLACE(REPLACE(TRIM(phone), '-', ''), ' ', ''), 4), '') )
身份证更要注意末位 X 和 15/18 位混存问题，推荐固定截头尾：
- 前6位（地区码）+ 8个
*+ 后4位（校验位或生日段），避开中间长度不确定性 - 用
IFNULL(LEFT(id_card, 6), '')而不是LEFT(IFNULL(id_card, ''), 6)，防止空值传入LEFT()导致整列 NULL - 邮箱脱敏要定位
@：用SUBSTRING(email, LOCATE('@', email))确保域名部分完整保留
如何让同一过程支持不同角色的数据可见范围
靠传参 + 动态拼接 WHERE 是常见误区。直接 CONCAT(' AND user_role = ''', role_param, '''') 是高危操作，必须用白名单校验 + 静态分支替代。
正确做法是用 CASE 或嵌套 IF 控制过滤条件，例如：
WHERE
CASE
WHEN @role = 'admin' THEN 1
WHEN @role = 'dept_leader' THEN department_id = @dept_id
WHEN @role = 'self' THEN user_id = @current_user_id
ELSE 0
END = 1
这样既避免 SQL 注入，又能让 MySQL 在执行前就确定执行计划（不会因参数不同导致缓存失效）。注意：@role 必须是 IN 参数，且调用前由应用层校验合法性，不能依赖过程内兜底。
- 禁止在 WHERE 中调用函数过滤敏感字段（如
WHERE mask_phone(phone) = ?），会导致索引完全失效 - 如果真需按模糊条件查（如“部门下所有用户”），优先建好覆盖索引，比如
(department_id, status, created_at) - 对高频查询的敏感字段，考虑冗余脱敏列（如
phone_masked）并用触发器维护，换空间换性能
DEFINER 设置不当会导致整个访问逻辑失效
很多人设完 DEFINER = 'admin'@'localhost' 就以为万事大吉，结果上线后频繁报 ERROR 1449: The user specified as a definer ('admin'@'localhost') does not exist。这不是权限问题，是账户本身被删或 host 不匹配。
修复不是改密码，而是重建过程并显式绑定有效账号。更重要的是，DEFINER 账户必须只拥有该过程实际需要的最小权限：
- 如果过程只读
user_profile，就只授SELECT(user_id, name, phone_masked)，别给全表 SELECT - 千万别复用
root或应用连接账号，否则一个过程漏洞等于全线沦陷 - MySQL 8.0+ 默认用登录用户全称当 DEFINER，跨环境迁移时
'app_user'@'%'和'app_user'@'10.0.1.%'会被视为不同账户
最易被忽略的一点：即使 DEFINER 权限足够，调用者也必须被显式授予 EXECUTE 权限，且该授权语句前通常要先执行 GRANT USAGE ON db_name.*（MySQL 8.0.16+ 强制要求）。
