$substr不是加密，仅是字符串截取操作；它无法实现安全脱敏，因依赖固定长度、不支持UTF-8字符、不可索引且易出错，掩码应在应用层统一处理。
直接说结论：$substr 不是加密，也不能“加密”，它只是字符串截取
你在 $project 阶段用 $substr 把身份证号前 6 位换成 "***"，这不是加密，也不是掩码脱敏——这只是硬编码拼接，且极易被绕过。MongoDB 本身不提供字段值运行时变形能力，$substr 只负责从字符串中切一段出来，比如 {"$substr": ["$id_number", 0, 3]} 返回的是原始值的前 3 字节，不是脱敏结果。
为什么 $substr + $concat 拼出来的“掩码”不可靠
常见写法是这样：
{$project: {
id_masked: {$concat: ["***-**-", {$substr: ["$id_number", -4, 4]}]}
}}
这看似能输出 "***-**-1234"，但问题一堆：
- 它依赖
$id_number是固定长度字符串（比如 18 位），一旦有空值、格式不一或含空格，$substr就可能返回空或错位 -
$substr在 MongoDB 3.4+ 已被标记为弃用，底层实际调用$substrBytes，对 UTF-8 多字节字符（如中文、emoji）会按字节截，不是按字符截，容易截出乱码 - 每次查询都实时计算，无法利用索引，聚合性能随数据量线性下降
- PHP/Node.js 等驱动对复杂聚合表达式支持不一，某些版本会静默丢弃或报
"invalid operator"
真正该在聚合里做的，只有两件事：过滤和投射
聚合阶段适合做的是安全边界控制，不是内容改写：
- 用
$project显式排除敏感字段：{"ssn": 0, "phone": 0}，防止意外返回 - 用
$project重命名字段（如"ssn": "$_id"），但注意：重命名不等于脱敏，原始字段仍可被其他查询读到 - 配合角色权限，让某用户只能查这个视图，而视图定义里已不含敏感字段——这才是视图该干的事
别指望 $project + 字符串操作能替代应用层逻辑。视图里写一堆 $substr + $concat，等于把业务规则埋进数据库 schema，改个掩码规则就得动 DB 层，审计难、测试难、上线风险高。
应用层才是掩码唯一可控、可测、可审计的位置
你真正该做的，是在代码里统一处理输出：
- Laravel-MongoDB 模型用
$hidden = ['id_number']或$visible = ['name', 'email']控制序列化字段 - Go/Python/Node.js 在 API 响应前加一层
maskIdNumber()函数，输入原始值，输出"***-**-1234"，逻辑集中、单元测试可覆盖 - 如果必须走聚合（比如导出报表），先用
$project提取出原始字段，再由服务端做后处理——别把掩码逻辑塞进aggregate()管道
最常被忽略的一点：即使你用企业版字段级加密（FLE），客户端也得带密钥解密才能读明文；而掩码是单向展示需求，不需要可逆。混淆字段名、截断值、拼星号——这些全是展示层契约，不该由数据库承担。
