ThinkPHP数据匿名化核心是用模型afterRead事件动态脱敏，导出时需统一调用工具方法处理，禁用直接UPDATE或视图方案，须明确脱敏范围与规则。
ThinkPHP 里做数据匿名化，核心就一条：别直接改生产数据库，用模型事件 + 自定义脱敏函数在查询/导出时动态处理字段。
怎么在查询结果里自动脱敏敏感字段
ThinkPHP 没内置“脱敏中间件”，但 afterRead 模型事件是最佳切入点——它在每次查完数据、转成数组/对象前触发，适合做字段替换。
- 在模型类（如
User）里定义protected $dispatch = ['afterRead' => 'handleAnonymize'] - 写
handleAnonymize方法，对$this->mobile、$this->id_card等字段调用自定义脱敏函数（比如用substr_replace或正则） - 注意：该事件只对
select()、find()等 ORM 查询生效，Db::table()->select()原生查询不触发 - 如果用了
with()关联，关联模型需各自定义事件，不会自动继承
导出 Excel 时怎么确保脱敏不漏字段
导出常绕过模型事件，直接查 Db 或用 collection 处理，这时脱敏容易失效。
- 别在控制器里手动拼接脱敏逻辑，统一抽成工具方法，比如
app\common\utils\Anonymize::mobile($str) - 导出前先用
collection处理数据：$list->each(function ($item) { $item['mobile'] = Anonymize::mobile($item['mobile']); }) - 如果用 PhpSpreadsheet，务必在
setCellValue前完成脱敏，而不是靠模板里的表达式（不可控且难调试） - 测试时故意导出含真实手机号的 Excel 文件，确认是否真的被替换成
138****1234这类格式
为什么不能用数据库视图或 UPDATE 批量脱敏测试库
看起来一劳永逸，实则埋雷。
立即学习“PHP免费学习笔记（深入）”；
- 视图无法覆盖所有查询场景（比如跨库 JOIN、子查询），且 ThinkPHP 的
table()不会自动识别视图字段注释，getFieldList()可能出错 - 用
UPDATE user SET mobile = CONCAT(LEFT(mobile,3), '****', RIGHT(mobile,4))直接改测试库，会导致时间字段被误更新、唯一索引冲突、软删除字段delete_time被清空 - 更麻烦的是：一旦脱敏脚本跑错库，生产数据就不可逆——所以必须加
WHERE app_env = 'test'条件，且执行前用SELECT COUNT(*)验证范围 - 推荐做法：用迁移命令生成脱敏后的测试库副本，原库不动
真正难的不是写几个星号替换函数，而是厘清「哪些接口要脱敏」「哪些字段允许明文（比如后台审核页）」「脱敏规则要不要随角色变化」。这些逻辑一旦散落在控制器、模型、导出方法里，下次换手机号格式就全得重改。
