SQL Server中UPDATE不能直接子查询引用目标表，须用CTE或派生表先物化脱敏结果再JOIN更新；推荐CTE方式，配合TRIM()和WHERE过滤，并用LEFT+RIGHT+CONCAT按位置脱敏。
SQL Server 中不能用子查询直接 UPDATE 目标表本身，所谓“嵌套查询脱敏”必须绕过 ERROR 1093 类错误（虽然这是 MySQL 的报错码，但 SQL Server 对 UPDATE + FROM 同表引用同样敏感），本质是把脱敏逻辑从子查询里“提出来”，再通过 JOIN 或 CTE 关联更新。
UPDATE 语句里写子查询会报错：Invalid object name 或 Cannot specify target table
很多人尝试这样写：
UPDATE Users
SET phone = (SELECT CONCAT(LEFT(t.phone, 3), '****', RIGHT(t.phone, 4))
FROM Users t WHERE t.id = Users.id)
SQL Server 会拒绝执行，不是语法错误，而是优化器禁止这种自引用。它不报 ERROR 1093，但可能抛 Invalid object name 't' 或静默失败——尤其在带别名的 FROM 子句中混用目标表时。
- 子查询在 SET 中若引用了正在被 UPDATE 的表，SQL Server 视为不可预测的执行顺序，直接拦截
- 即使加了别名、加了 WHERE 条件，只要 FROM 子句里出现目标表名（哪怕别名不同），就可能触发限制
- 某些版本（如 SQL Server 2016+）在兼容级别低时允许部分写法，但行为不一致，线上绝对不要依赖
真正能跑通的写法：用 CTE 包裹脱敏逻辑再 JOIN 更新
CTE 把脱敏计算提前“物化”成临时结果集，再和原表关联，彻底规避自引用问题。这是最清晰、最易调试的方式。
WITH masked AS (
SELECT id,
CONCAT(LEFT(TRIM(phone), 3), '****', RIGHT(TRIM(phone), 4)) AS masked_phone,
CONCAT(LEFT(TRIM(id_card), 6), '******', RIGHT(TRIM(id_card), 4)) AS masked_id
FROM Users
WHERE phone IS NOT NULL AND TRIM(phone) != ''
)
UPDATE u
SET u.phone = m.masked_phone,
u.id_card = m.masked_id
FROM Users u
INNER JOIN masked m ON u.id = m.id;
-
TRIM()必须加，否则手机号开头空格会导致LEFT(phone, 3)截出空值 - WHERE 过滤要放在 CTE 内部，不是 UPDATE 外层——否则未过滤行会参与 JOIN，导致 NULL 覆盖
- 如果表很大，务必加
TOP (10000)和循环分批，避免事务日志暴涨或锁表
用派生表（子查询 + 别名）替代 CTE 也能 work，但可读性差
有人偏好不用 CTE，改用 FROM 子句里的子查询。它可行，但容易漏掉关键细节：
UPDATE u
SET u.phone = src.masked_phone
FROM Users u
INNER JOIN (
SELECT id,
CONCAT(LEFT(TRIM(phone), 3), '****', RIGHT(TRIM(phone), 4)) AS masked_phone
FROM Users
WHERE phone IS NOT NULL AND LEN(TRIM(phone)) = 11
) AS src ON u.id = src.id;
- 必须给子查询加别名（如
AS src），否则 SQL Server 报Incorrect syntax near ')' -
LEN(TRIM(phone)) = 11比LENGTH更安全——SQL Server 用LEN()，不是LENGTH() - 这种写法无法复用脱敏逻辑（比如同时处理 phone 和 id_card），每个字段得单独写一遍子查询
为什么不用 REPLACE + SUBSTRING 做脱敏？
像 REPLACE(phone, SUBSTRING(phone, 4, 4), '****') 这种写法看似聪明，实际极危险：
- 手机号中间 4 位若重复出现（如
1381381234），SUBSTRING取出'1381'，REPLACE会把所有'1381'都干掉，结果变成****38****234 - 身份证号含字母 X，
SUBSTRING若没对齐位置，可能切在 X 上，导致脱敏后末尾多一个 X -
REPLACE是全字符串匹配替换，不是按位置替换，语义和脱敏需求根本错位
真正可控的脱敏只认位置：LEFT + RIGHT + CONCAT 是唯一推荐路径。其它方式要么不可逆，要么在脏数据下崩得毫无征兆。
