真正生效的只有模型层的get*Attr访问器，因其能覆盖API返回、导出、日志等所有读取场景；中间件仅处理输入参数，无法干预模型序列化、原生查询、关联加载及日志记录等输出环节。
ThinkPHP 8.0 里做数据脱敏，不能靠中间件统一过滤字段——它拦不住模型序列化、导出、日志等绕过请求生命周期的路径；真正生效的只有模型层的 get*Attr 访问器，配合 withAttr 和手动白名单控制。
为什么中间件过滤敏感字段基本无效
中间件只能处理 $request->param() 或 $request->post() 这类输入，但脱敏真正的战场在输出侧：API 返回、Excel 导出、日志记录、关联查询结果。一旦你写了 return json($user)，中间件早已执行完毕，模型里的原始 password 字段照样被 json_encode() 直接吐出去。
- 中间件无法干预
$user->toArray()、$user->toJson()、$list->each()等操作 - 原生查询
Db::table('user')->select()完全不走模型，访问器和中间件全失效 - 日志里写
Log::write($request->param())，中间件改了参数，但日志还是记原始值——因为Log::write()拿的是未 merge 前的快照 - 关联模型（如
with('profile')）不会自动继承主模型的中间件逻辑，子模型字段仍明文
必须用模型访问器（get*Attr）做全局脱敏
只有 get*Attr 能覆盖所有读取场景：模板渲染、toArray()、toJson()、__toString()、甚至 $user->phone 直接访问。函数名必须严格匹配规则，否则不触发。
- 手机号字段叫
mobile，就得写getMobileAttr($value)；叫phone就得是getPhoneAttr - 开头判空：
if (empty($value) || !is_string($value)) { return $value; }，避免null或数字类型崩掉 - 别硬编码
substr($value, 0, 3) . '****' . substr($value, -4)——国际号（+86）、空格、短号都会出错；推荐用substr_replace($clean, '****', 3, 4)，先清洗再替换 - 邮箱脱敏要拆分：
[$local, $domain] = explode('@', $value, 2);，只掩码$local中间字符，$domain必须原样保留
按接口/角色动态脱敏：用 withAttr + 白名单 field
$hidden 是静态配置，get*Attr 是全局逻辑，真要区分「管理员看全量、普通用户只看脱敏后」，得在查询阶段切数据，而不是在展示层打补丁。
立即学习“PHP免费学习笔记（深入）”；
- 别在模型里写
protected $hidden = ['id_card']——这等于告诉所有人“这个字段存在但被藏起来了”，权限校验形同虚设 - 用
withAttr('id_card', fn($v) => auth()->user()->can('view_id_card') ? $v : hide_id_card($v))，把权限判断提前到查询时 - 更彻底的做法是动态
field()：根据角色拼字段数组，比如UserModel::field(['id', 'name', 'mobile'])->select()，从 SQL 层就剔除敏感字段 - 关联查询也要单独限制：
User::with(['profile' => fn($q) => $q->field(['nickname'])])，否则with()默认查全部字段
导出和日志最容易漏脱敏，必须手动兜底
getData()、toArray(true)、$collection->each() 全都不触发访问器；日志里直接 dump $order->toArray() 等于把身份证号、银行卡号打包发给运维。
- Excel 导出前强制走一次脱敏：
$list->each(fn($u) => $u->mobile = hide_mobile($u->mobile));，别信toArray()会自动调访问器 - 日志记录前必须预处理：
$safeParams = maskSensitiveData($request->param()); Log::record($safeParams, 'info');，maskSensitiveData()要递归遍历、键名大小写不敏感、支持嵌套结构 - 别用
unset($params['password'])应急——遇到['user' => ['pwd' => '123456']]就漏掉；得用深度遍历 + 正则匹配键名（如/^(pass|pwd|token|key|card|id_?card)$/i） - 第三方 SDK 日志（如支付回调）同样危险，
$response->toArray()前必须人工过滤，框架不会帮你
最常被忽略的点：脱敏只作用于读取，不影响写入；数据库存的永远是明文。如果你以为加了 getPhoneAttr 就等于数据加密，那下次审计时会被直接标红。脱敏是展示层契约，不是存储层保障。
