ThinkPHP隐私数据脱敏需分层控制：日志层用Log::record()预处理+关键词递归掩码；展示层靠模型访问器（如getMobileAttr）自动触发；导出层须绕过SQL拼接，查原始数据后统一清洗；权限级脱敏必须在服务层判断，严禁模型耦合认证逻辑。
直接回答：ThinkPHP 里实现隐私数据脱敏输出，核心不是“加个配置就完事”，而是分层控制——日志写入前必须脱敏、展示层靠访问器（getMobileAttr）、导出时用工具函数统一清洗、权限级脱敏得在服务层做判断。漏掉任何一层，都可能把 password 或 mobile 直接打到日志或 Excel 里。
Log::write() 写请求参数等于泄露密码
这行代码：Log::write($request->param(), 'info') 在生产环境运行一次，日志文件里立刻出现 "password": "123456"。ThinkPHP 的 Log::write() 不识别模型 $hidden，也不调用访问器，更不会递归扫描嵌套数组里的 mobile、id_card 等键。
- 必须改用
Log::record()，并手动预处理：Log::record('登录请求: ' . json_encode(maskSensitiveData($request->param()), JSON_UNESCAPED_UNICODE), 'info') -
maskSensitiveData()要用array_walk_recursive()，关键词匹配大小写不敏感（password、PWD、Token都得覆盖） - 替换值统一用
***，禁止为空字符串——否则前端校验或下游系统可能误判为字段缺失 - 自定义日志处理器（继承
think\log\driver\File）最彻底，但注意它不处理Log::record()内容，两者策略要对齐
模型访问器 getMobileAttr 是展示层脱敏最省心的入口
只要字段名是 mobile，定义 getMobileAttr() 后，toArray()、toJson()、模板渲染、Excel 导出（前提是走模型）都会自动触发。但它只读取生效，save() 不会调用，原始值照存。
- 函数体必须判空：
if (empty($value) || !is_string($value)) { return $value; }，否则$value是null时substr_replace()会报 warning - 推荐用
substr_replace($value, '****', 3, 4)，比正则快且可控；别用str_replace()，它无法按位置替换 - 字段名必须严格匹配：数据库字段是
phone，就得写getPhoneAttr()；Phone或phone_number都不触发 - 关联查询（如
with('profile')）不会自动触发子模型访问器，需显式声明：$query->withAttr('id_card', fn($v) => desensitize_id_card($v))
导出 Excel / CSV 时脱敏容易失效
导出常绕过模型事件和访问器，直接查 Db::table() 或用 collection 处理，这时 getMobileAttr() 完全不生效。不能依赖 SQL 层拼接（如 CONCAT(LEFT(phone,3), '****', RIGHT(phone,4))），否则缓存里存的就是脱敏值，运营后续查不到原始号。
立即学习“PHP免费学习笔记（深入）”；
- 查出原始数据后，用
array_map+ 预定义规则统一清洗，规则格式如：['mobile' => fn($v) => $v ? substr_replace($v, '****', 3, 4) : ''] - 大数量导出（>10 万行）优先字符串截取，避免在回调里用正则，性能差 3–5 倍
- 用
fputcsv前务必清理不可见字符（如\n、\r），并手动控制引号包裹逻辑——值含逗号/换行/双引号时才包"" - 导出前调用
ob_start()时，先关掉notice级错误输出，否则脱敏函数里访问空数组键会打断输出流
权限级脱敏不能靠模型 hidden 属性硬编码
protected $hidden = ['mobile', 'id_card'] 只控制序列化字段显隐，不校验当前用户是否有权查看。管理员和普通用户调同一个 toArray()，字段照样全暴露。这不是功能缺陷，是设计定位问题。
- 别在模型里写
if (auth()->user()->role === 'admin') { ... }——模型不该耦合认证逻辑，且测试时极难 mock - 正确做法是收口到服务类（如
UserDataMasker），接收原始数据和权限码（如user:mask:phone），再决定留不留字段或返回*** - 如果用
withAttr('phone', [...])，闭包里必须检查权限，且注意缓存：同一个模型实例多次调用toArray()时，闭包可能只执行一次 -
Db::table()操作完全无视$hidden和访问器，权限判断必须在 PHP 层做完再组装数据
真正难的不是写几个星号替换函数，而是厘清「哪些接口要脱敏」「哪些字段允许明文（比如后台审核页）」「脱敏规则要不要随角色变化」。这些逻辑一旦散落在控制器、模型、导出方法里，下次换手机号格式就全得重改。
