面向对象开发中属性敏感度脱敏靠封装而非“藏代码”，核心是通过private字段+带脱敏逻辑的getter、Builder预脱敏、重写toString()、不可变对象等机制实现受控访问与动态策略。
面向对象开发中，属性敏感度脱敏不是靠“藏代码”实现的，而是靠封装机制把脱敏逻辑内聚在类内部，让字段访问受控、变更可审计、展示有策略。核心不在于不让别人看到字段，而在于不让别人不经处理就拿到原始值。
用 getter 封装脱敏逻辑，而非暴露原始字段
直接 public 字段或无逻辑的 getter 会绕过所有保护。正确做法是：将敏感字段设为 private，getter 中按需脱敏返回——比如手机号只在管理员角色下返回全量，普通用户返回“138****5678”。
- 避免写：
public String phone;或public String getPhone() { return phone; } - 推荐写：
private String phone;+public String getPhone() { return DesensitizeUtil.mobilePhone(phone); } - 进阶可结合 SecurityContext 判断当前权限，动态决定是否脱敏或脱敏强度
构造器与 Builder 模式中预置脱敏入口
对象创建阶段就应考虑敏感数据的初始状态。若原始数据来自数据库或外部接口，可在构造器或 Builder 的 build() 方法中触发一次默认脱敏（如身份证号自动转为“110**********1234”），避免后续误用明文。
- Builder 示例：
public User build() { this.idCard = DesensitizeUtil.idCardNum(this.idCard); return new User(this); } - 构造器中不建议直接修改传入参数（破坏调用方数据），而是复制后脱敏再赋值
重写 toString() 和日志输出时主动脱敏
调试日志、异常堆栈、监控埋点常隐式调用 toString()，极易导致敏感信息明文落盘。必须重写该方法，对敏感字段做静态脱敏（如邮箱显示为“u***@xxx.com”），且禁止在日志中打印原始对象引用。
- 不要依赖 IDE 自动生成的 toString()；手动控制每个字段的输出形态
- 配合日志框架（如 Logback）使用 MaskingPatternLayout，双重防护
- 对集合类对象，需递归检查元素类型，避免 List<User> 打印时漏脱敏
不可变对象（Immutable）是终极封装防线
一旦对象构建完成，敏感字段就不可更改，也无需担心多线程并发修改导致脱敏失效。配合 private final + 全参构造器 + 无 setter，天然阻断运行时篡改路径。
- 敏感字段声明为
private final String idCard; - 提供带脱敏逻辑的只读访问器：
public String getIdCardMasked() { return DesensitizeUtil.idCardNum(idCard); } - 序列化时（如 JSON）可注解
@JsonIgnore原始字段，仅暴露脱敏后的方法结果
