Webman中数据脱敏必须分离存储加密与展示脱敏：存储用openssl_encrypt加密，展示在PHP层清洗校验后调用mask_phone等函数处理，严禁SQL层脱敏或中间件事后替换。
Webman 里做数据脱敏，**不是加个中间件就能自动搞定**；它必须分清「存储加密」和「展示脱敏」两条线——前者用 openssl_encrypt 落库，后者用 substr_replace 或封装函数在响应前变形。混用会导致数据永久丢失或日志里全是“138****1234”这种伪安全字符串。
Webman 中敏感字段不能在数据库层用 SQL 函数脱敏
别在查询时写 CONCAT(LEFT(phone,3),"****",RIGHT(phone,4))。Webman 的 ORM（如 ThinkORM 或自定义 PDO 封装）不支持动态 SQL 表达式透传，且这样做的结果无法被模型访问器识别，后续导出、日志、API 返回都不可控。
- 脱敏逻辑必须落在 PHP 层：从数据库取出原始值后、组装响应体前这一环
- 如果用 Webman 的
Db类直查，需手动对结果数组遍历处理，例如：$user['phone'] = mask_phone($user['phone']) - 若用模型（如继承
Webman\Model），可在toArray()或jsonSerialize()方法里统一调用脱敏函数，避免散落在控制器
用 mask_phone() 这类函数做展示脱敏，必须先清洗再切片
直接对 $user['phone'] 调 substr_replace($phone, '****', 3, 4) 是高危操作——用户提交的手机号可能是 "138-1234-5678"、"+8613812345678" 或带中文空格，切片会错位甚至返回空。
- 清洗必须前置：
$clean = preg_replace('/\D/', '', $phone) - 长度校验不可跳过：
if (strlen($clean) !== 11) return $phone - 再脱敏：
substr_replace($clean, '****', 3, 4) - 邮箱、身份证同理：邮箱要
explode('@', $email)后分别处理本地部分，身份证要先strtoupper()再判 15/18 位
Webman 日志中打点必须先脱敏再加密，不能只 openssl_encrypt 原始日志
常见错误是：error_log(openssl_encrypt(json_encode($log), 'AES-256-CBC', $key, 0, $iv))——这等于把明文手机号锁进保险箱，钥匙一丢就全暴露。
立即学习“PHP免费学习笔记（深入）”；
- 脱敏必须作用于结构化数组：
$log = mask_sensitive_fields($log, ['phone', 'id_card', 'email']) - IV 必须每次随机生成：
$iv = random_bytes(openssl_cipher_iv_length('AES-256-CBC'))，不能复用或用time() - 密文需 base64 编码后存储，且 IV 要和密文拼在一起或存为独立字段，否则无法解密
- 别依赖日志组件自动过滤——Webman 默认的
Logger不识别敏感字段，得自己在Handler里注入脱敏逻辑
Webman 模型层自动脱敏要用 jsonSerialize() 显式控制
Webman 没有 Laravel 那样的 $appends 和访问器自动机制，直接在模型属性上设 getPhoneMaskedAttribute 不生效。想让 json_encode($user) 输出脱敏值，必须重写序列化行为。
- 在模型类中定义
jsonSerialize()方法 - 该方法内构造新数组，对敏感字段调用脱敏函数：
'phone' => mask_phone($this->phone) - 不要修改原始属性值，否则影响后续业务逻辑（比如发短信还得用原号）
- 若字段嵌套在
extra_info这类 JSON 字段里，需递归解析后再脱敏，不能只处理顶层键
最易被忽略的一点：Webman 的 HTTP 中间件默认不拦截 JSON 响应体，response()->json() 返回的是已序列化的字符串，此时再想脱敏只能正则替换——但会破坏 JSON 结构。真正安全的做法，是在 Controller 返回数组之前就完成所有脱敏，而不是等中间件去“修”响应内容。
