必须手动过滤table.cache中的敏感字段，因为layui.exportFile不识别权限配置、hide:true或自定义标记，会全量导出cache中所有字段。
导出时跳过敏感字段必须手动过滤 table.cache 数据
layui 的 exportfile 不识别权限配置，也不会读取 hide: true 或列上的自定义标记。它默认把 table.cache['your-id'] 里所有字段、按 cols 定义的顺序全量导出。所谓“没权限看的列”，前端渲染时可能已用 templet 渲染为空或加了遮罩，但数据仍在 cache 中，导出时照常出现。
实操建议：
- 先确认敏感字段的
field值：打开控制台执行layui.table.config.cols['your-table-id'][0]，逐个检查哪几列对应 ID、身份证号、手机号、创建人等字段（如'user_id'、'id_card'） - 构造清洗逻辑：用
map遍历table.cache['your-table-id']，对每行对象做解构剔除，保留非敏感字段 - 确保清洗后对象的 key 名与
cols中的field严格一致——漏掉一个字段名拼写错误，整行该列就会是undefined - 如果用了
parseData做后端响应预处理，记得清洗逻辑要放在parseData之后、cache已更新的时间点执行
别信 export: false 或 hide: true 能影响导出
有人在列配置里加 export: false 或 exportable: false，但 layui 源码里根本没处理这两个字段；hide: true 只控制 DOM 渲染，table.cache 依然完整保留所有字段。导出时若不传 data 参数，exportFile 就直接读 cache —— 敏感字段一个不少。
常见错误现象：
- 表格上看不到“身份证”列，但导出 Excel 里赫然出现一整列数据
- 删掉列配置中的
field，结果导出时该列变成空，但其他列顺序错乱（因为cache和cols字段数不匹配） - 用 CSS 隐藏
td[data-field="id_card"]，导出照样包含 —— 导出不走 DOM 树
如何安全拼接导出用的 cols 参数
exportFile 支持传入第三个参数 options，其中 cols 可覆盖表头顺序和显示名。如果你不仅要剔除字段，还要调整导出列顺序或改表头文字，就得显式传这个参数。
实操要点：
-
options.cols必须是二维数组结构，和初始化时cols格式完全一致，例如[[{field:'name',title:'姓名'},{field:'age',title:'年龄'}]] - 只传你允许导出的列，且每个对象必须含
field（用于匹配清洗后数据的 key）和title（用于 Excel 表头） - 千万别直接修改
table.config.cols后再导出 —— 这会永久改变表格列配置，reload 后敏感列就真消失了 - 如果某列没设
field（比如纯操作列），它在cache中不会存在，无需在cols中声明，也不用在清洗逻辑里处理
大数据量下避免前端内存爆炸
当表格启用了分页，table.cache 默认只存当前页数据。但业务常要求“导出全部”，这时不能直接调 table.exportFile('id') —— 它只会导出当前页。你得先发请求拉全量数据，再过滤敏感字段。
关键提醒：
- 别在前端一次性加载 10 万行数据再过滤导出，浏览器极可能卡死或崩溃
- 更合理的路径是：后端提供一个带权限校验的导出接口，返回已剔除敏感字段的精简数据（如
/api/export/users?fields=name,age,dept） - 如果必须前端处理，至少用
for循环代替map，配合requestIdleCallback分片处理，防止主线程长时间阻塞 - CSV 导出比 Excel 轻量，对大数组更友好；若选
xlsx，务必引入excel模块并用layui.excel.exportExcel，它内部做了流式写入优化
exportFile 的每一行数据，都该是后端已脱敏的结果。 
