phpMyAdmin 不支持前端脱敏，须通过 transformations 配置正则替换实现字段级脱敏：手机号用 /^(d{3})d{4}(d{4})$/ → $1****$2，身份证用 /^(\d{6})\d{8}(\d{3}[xX]?)$/ → $1********$2，仅限浏览页生效，导出仍为明文。
phpMyAdmin 里直接显示脱敏手机号/身份证？不行，得改配置
phpmyadmin 本身不提供字段级前端脱敏功能。它只是把数据库查出来的值原样渲染进 html 表格，select 返回啥，页面就显示啥。想“前端脱敏”，本质是让 phpmyadmin 在查询时就对敏感字段做处理，而不是靠 js 或 css 遮盖——后者既不可靠（右键查看源码全暴露），也违反最小权限原则。
实操建议：
- 不要试图用浏览器插件或 CSS text-overflow 遮掩，毫无安全性可言
- 必须通过 phpMyAdmin 的 transformations（转换规则）机制，在显示前对字段内容做字符串替换
- 这个功能依赖 phpMyAdmin 后端 PHP 处理，只对「浏览表」和「搜索结果」生效，不影响 SQL 标签页直连执行
怎么配 transformations 实现手机号脱敏（138****1234）
核心是给手机号字段绑定一个 String->Substring + String->Replace 组合转换，但 phpMyAdmin 不支持链式，所以得用更直接的 External 类型配合自定义 PHP 函数，或者用内置的 String->Regex（推荐，无需改代码）。
常见错误现象：
- 配了 transformation 却没生效 → 没勾选「Use column types」或没刷新页面
- 脱敏后全是 NULL → 正则写错，没匹配上原始数据格式（比如带空格、括号、-）
使用场景：
- 字段类型是 VARCHAR 或 CHAR，长度 ≥ 11（手机号）或 ≥ 18（身份证）
- 数据库字符集为 utf8mb4，避免中文乱码干扰正则
参数差异：
- 手机号：用正则 /^(d{3})d{4}(d{4})$/，替换为 $1****$2
- 身份证：用正则 /^(d{6})d{8}(d{4})$/，替换为 $1********$2（注意：真实身份证末位可能是 X，需加 [Xx]?）
性能 / 兼容性影响：
- 每行都跑一次 PCRE 正则，大数据量（>10 万行）浏览会明显变慢
- phpMyAdmin 5.0+ 支持 Regex 转换，旧版本（如 4.9）需升级或改用 External 方式
示例（在 phpMyAdmin 表结构页 →「Relation view」→ 找到手机号字段 →「Transformation」下拉选 String->Regex）：
- Regular expression: /^(d{3})d{4}(d{4})$/
- Replacement: $1****$2
身份证脱敏要注意末位 X 和校验位，别简单截断
直接用 SUBSTRING(id_card, 1, 6) + '<strong>**</strong>' + SUBSTRING(id_card, -4) 看似快，但会出错：真实身份证最后一位是校验码，可能是 X（大写），而 SUBSTRING 取 -4 在 MySQL 5.7+ 才支持，低版本报错；更重要的是，这种硬切法无法区分 15 位老身份证和 18 位新证。
容易踩的坑：
- 正则没考虑大小写：写成 /^(d{6})d{8}(d{3})[xX]$/ 才能覆盖末位 X
- 忘记转义点号：身份证里没有点，但若字段混入其他格式（如带分隔符），正则中 . 必须写成 .
- 浏览时看到脱敏效果，导出 CSV 却是明文 → transformations 仅作用于 Web 展示，导出不受影响，这是设计使然，不是 bug
实操建议：
- 先在 SQL 标签页测试正则：SELECT id_card, REGEXP_REPLACE(id_card, '^(d{6})d{8}(d{3}[xX]?)$', '$1********$2') FROM users LIMIT 5;
- 若 MySQL 版本 CONCAT + SUBSTR 模拟，但必须加 IF(LENGTH(id_card)=18, ..., ...) 分支判断
为什么不能靠 phpMyAdmin 用户权限控制代替脱敏
有人觉得：“我只给运维开 SELECT 权限，不让开发连生产库不就行了？”——这混淆了权限控制和数据展示控制。只要用户有查表权限，就能在 phpMyAdmin 里看到原始值；而 transformation 是唯一能在“有权限的前提下”降低信息泄露风险的手段。
关键点：
- 权限控制的是“能不能查”，transformation 控制的是“查出来看到什么”
- 开发人员用 phpMyAdmin 查日志表时，可能顺手翻到用户表，脱敏是最后一道缓冲
- 如果数据库开了 general_log 或慢查日志含 SQL 参数，手机号照样出现在日志文件里——那是另一个层面的问题，不在 phpMyAdmin 管控范围
事情说清了就结束。真正麻烦的从来不是配正则，而是得确认所有业务表里手机号/身份证字段命名是否统一（phone？mobile？id_number？identity_card？），漏掉一个，就白忙活。
立即学习“PHP免费学习笔记（深入）”；
