mysql不支持查询时自动脱敏，仅能在before insert触发器中对手机号、身份证号等敏感字段做确定性预处理掩码，如concat(left(phone,3),'**',right(phone,4))，但必须校验长度、处理null，且该方案不可逆，仅适用于日志表等无需原始值的场景。
不能用触发器“剥离”敏感信息——它只能在写入前做确定性掩码，且必须放弃原始值。 一旦数据进库，触发器无法修改已存记录；所谓“剥离”其实是预处理式脱敏，只适用于日志、报表等无需回溯明文的场景。
BEFORE INSERT 触发器里怎么安全地掩码手机号
核心是字符串截取+拼接，全程避免非确定性函数和隐式类型转换：
-
SET NEW.phone = CONCAT(LEFT(NEW.phone, 3), '****', RIGHT(NEW.phone, 4))是可行写法，但必须加长度校验 - 必须包裹
IF LENGTH(NEW.phone) >= 11 THEN ... END IF，否则空值或短号会触发错误 - 别用
REPLACE()或正则——MySQL 8.0 前不支持原生正则替换，且易误匹配重复数字 - 字段为
utf8mb4时，LEFT()和RIGHT()按字符计数（非字节），纯数字无影响
身份证号掩码必须避开出生日期段
18位身份证中第7–14位是出生日期，属于强敏感字段，不能只掩中间8位：
- 正确写法：
SET NEW.id_card = CONCAT(LEFT(NEW.id_card, 6), '********', RIGHT(NEW.id_card, 1)) - 必须检查长度和 NULL：
IF NEW.id_card IS NOT NULL AND LENGTH(NEW.id_card) = 18 THEN - 错误示范：
SUBSTRING(NEW.id_card, 1, 6) + '********' + SUBSTRING(NEW.id_card, -1)——+是数值加法，会导致整条转成0 - 末尾字母
X必须保留，RIGHT(NEW.id_card, 1)能正确捕获
所有数据库共通的硬伤：触发器不防绕过、不防读、不防删
你写的掩码逻辑只对走 INSERT/UPDATE 的语句生效：
- DBA 直连执行
UPDATE employees SET phone = '13812345678' WHERE id = 123，触发器照常运行，但操作人身份不可信 -
CURRENT_USER()返回的是连接账号（如app_rw@10.0.2.5），不是真实医生或HR工号 - 触发器对
SELECT、DELETE、DROP TABLE完全无感，审计链路从一开始就是断的 - 真正要防泄露，得靠应用层传
@current_app_user+ 数据库列加密 + RLS 策略三重控制
最常被忽略的一点：掩码后数据不可逆。如果监管要求留存原始身份证号用于实名核验，这种触发器方案直接违规——它不是防护，是主动丢弃。
