最直接办法是substr_replace($phone, '****', 3, 4)，需先trim()并校验11位；格式不一时用preg_replace('/(\d{3})\D*(\d{4})\D*(\d{4})/', '$1**$3', $phone)；优先PHP层脱敏，统一调用maskPhone函数。
用 substr_replace 快速隐藏手机号中间 4 位
最直接的办法是把字符串第 4 到第 7 位（含）替换成星号，前提是手机号固定 11 位且格式干净。这个函数不依赖正则，性能好、兼容 PHP 5.2+，适合高频脱敏场景。
常见错误现象：substr_replace 参数顺序容易记反，第三个参数是起始位置（从 0 开始），第四个是替换长度；有人误传 3, 4 结果只盖了 3 位，漏掉一位。
- 标准写法：
substr_replace($phone, '****', 3, 4)—— 起始索引 3 对应第 4 位（138****1234） - 必须先校验长度：
if (strlen($phone) !== 11)，否则非 11 位号码会错位脱敏 - 别直接对用户输入调用，先
trim()去空格，否则开头有空格会导致索引偏移
用 preg_replace 处理带分隔符或格式不一的手机号
真实数据里常混着空格、横线、括号，比如 138-1234-5678 或 (138) 1234 5678。这时候硬切位置会崩，得先归一化再脱敏，或者一步正则搞定。
使用场景：后台导出报表、日志打印、调试时临时脱敏，不能破坏原始格式结构（比如保留分隔符位置）。
立即学习“PHP免费学习笔记（深入）”；
- 推荐正则：
preg_replace('/(\d{3})\D*(\d{4})\D*(\d{4})/', '$1****$3', $phone) - 注意
\D*匹配任意非数字字符（包括空、横线、括号），但别用.*，否则跨行或贪婪匹配会出错 - 如果要兼容座机（如
010-12345678），需另写分支，别强行塞进一个正则里
脱敏函数要不要加 mb_substr_replace 支持中文？
不用。手机号全是 ASCII 数字，substr_replace 完全够用。引入多字节函数反而增加出错概率——PHP 的 mb_ 系列函数默认编码依赖 mb_internal_encoding() 设置，线上环境若没统一设成 UTF-8，可能返回空或乱码。
性能影响：多字节函数比原生函数慢 2–3 倍，纯数字场景毫无必要。
- 确认你的项目没改过
mb_internal_encoding，否则连mb_strlen都不准 - 如果真遇到含中文的混合字段（比如“张三138****1234”），先用
preg_match('/\d{11}/', $str, $m)提取号码再脱敏，别对整串用 mb 函数
数据库层脱敏 vs PHP 层脱敏，选哪个？
优先在 PHP 层做。MySQL 的 INSERT 或 SELECT 里用 CONCAT + SUBSTRING 脱敏，看似省事，但会带来两个硬伤：一是无法复用业务逻辑（比如不同角色看不同脱敏粒度），二是日志、API 返回、缓存序列化都绕不开 PHP 处理。
容易踩的坑：有人在 ORM 查询里写 select CONCAT(LEFT(phone,3), '****', RIGHT(phone,4)) as phone，结果缓存里存的就是已脱敏值，后续运营查原始号就没了。
- 原始数据永远存明文（加密存储是另一回事），脱敏只发生在展示/输出环节
- API 接口统一用一个
maskPhone($phone)辅助函数，别散落在各处substr_replace - 测试时务必覆盖空值、null、false、'0' 这些边界值，
substr_replace(null, ...)会警告
