视图脱敏必须配合权限回收，否则无效；需显式撤销基表select权限、授予视图权限；脱敏表达式须防null、类型错、长度泄露；动态角色判断只能用user()；跨表join和select *会绕过脱敏。
视图脱敏必须配合权限回收，否则等于没做
只建视图不撤基表权限，用户仍能直接查 users.phone 或 SELECT * FROM users，脱敏逻辑完全失效。MySQL 权限是白名单制，旧权限不会自动过期。
先确认当前权限：SHOW GRANTS FOR 'reporter'@'%'；重点检查是否有 SELECT ON mydb.* 或 SELECT ON mydb.users 这类宽泛授权。
显式回收基表权限：REVOKE SELECT ON mydb.users FROM 'reporter'@'%'；再单独授予视图权限：GRANT SELECT ON mydb.v_users_safe TO 'reporter'@'%'。
FLUSH PRIVILEGES 不需要执行——GRANT/REVOKE 会立即刷新内存缓存。
脱敏表达式要防 NULL、防类型错、防长度泄露
写死 '****' 或用 RIGHT(phone, 4) 会暴露原始字段长度（比如手机号总长 11 位，一眼看出是大陆号），也容易在空值时整列变 NULL，破坏业务校验逻辑。
手机号安全写法：CONCAT(IFNULL(LEFT(TRIM(phone), 3), ''), '****', IFNULL(RIGHT(TRIM(phone), 4), ''))
身份证号注意末位 X：CONCAT(IFNULL(LEFT(id_card, 6), ''), REPEAT('*', 8), IFNULL(RIGHT(id_card, 4), ''))
数字型字段（如 BIGINT 存的手机号）必须先转字符串：CAST(phone AS CHAR)，否则 LEFT(phone, 3) 会触发隐式转换警告或截断。
所有敏感字段都得包一层 IFNULL(col, '')，防止 CONCAT 遇到 NULL 返回空。
动态角色判断只能用 USER()，不能用 CURRENT_USER()
视图里想实现“管理员看全量，普通用户看脱敏”，必须靠调用者身份判断，而 CURRENT_USER() 返回的是 DEFINER 账号（比如 'admin'@'%'），永远一样；只有 USER() 才返回实际连接账号（如 'reporter'@'10.0.2.5'）。
正确写法示例：CASE WHEN USER() = 'admin'@'%' THEN phone ELSE CONCAT(LEFT(phone,3), '****', RIGHT(phone,4)) END AS phone
创建视图时必须显式指定 DEFINER = 'admin'@'%' 并设 SQL SECURITY DEFINER，否则脱敏逻辑不会以高权限执行，USER() 判断也会失效。
如果用连接池，账号可能是 'app'@'10.0.1.%' 这种泛域名形式，建议在视图里用 LIKE 匹配：USER() LIKE 'admin@%'。
跨表 JOIN 和 SELECT * 是视图脱敏的天然盲区
视图只封装单表查询逻辑，一旦参与 JOIN，优化器可能下推条件或绕过视图定义。例如：SELECT * FROM v_users_safe JOIN orders ON v_users_safe.id = orders.user_id，若 orders 表有冗余的 phone 字段，结果集就可能暴露原始值。
SELECT * 查视图时，如果基表新增了未在视图中脱敏的字段（比如后来加了 id_card_back），该字段会原样透出，且不会报错。
唯一可靠解法：彻底收回基表权限，并在应用层强制使用视图别名（如 FROM v_users_safe u），禁用 *，所有字段显式列出；对多租户场景，确保 tenant_id 是联合索引最左列，避免过滤后仍全表扫描。
