ThinkPHP 8.0 数据脱敏核心是字段层映射替换，必须依赖模型访问器（getMobileAttr）、hidden 数组和 afterRead 事件协同实现；中间件无法拦截模型读取与输出，单独使用任一方式均会导致脱敏失效或逻辑错误。
ThinkPHP 8.0 做数据脱敏展示，核心不是“拦截”，而是「字段层映射替换」——中间件根本拦不住模型读取，也管不了字段输出；真正起效的只有模型访问器（getMobileAttr）、hidden 数组、以及 afterRead 事件三者配合。单独依赖任一方式，都会漏字段、绕过脱敏、或破坏查询逻辑。
为什么中间件不能用于数据脱敏展示
中间件只在 HTTP 请求进入控制器前/后执行，它对 UserModel::select()、$user->toArray()、json($user) 这类模型操作完全无感知。试图在中间件里调用 $user->mobile = hide_mobile($user->mobile) 是徒劳的：模型属性已加载完毕，改的是临时副本，不影响后续序列化输出。
- 中间件无法拦截模型的
select()、find()、toJSON()等方法调用 -
Db::table('user')->select()原生查询不经过任何模型逻辑，中间件更无从介入 - 若在中间件中手动遍历并修改数组（如
array_walk_recursive），会丢失对象结构、破坏关联模型嵌套、且无法兼容Collection的链式调用 - 真正需要拦截的不是“数据读取”，而是“数据输出前的字段映射”——这属于模型职责，不是请求流职责
必须用 get{Field}Attr 实现字段级脱敏
字段脱敏唯一可靠、全局生效的方式，是在模型中定义访问器，函数名严格为 getMobileAttr、getIdCardAttr 等格式。框架会在所有读取该字段的场景（toArray()、toJson()、withAttr()、模板渲染）自动触发。
- 必须判空：
if (empty($value) || !is_string($value)) { return $value; }，否则null或数字类型传入substr_replace()会报 warning - 手机号推荐用
substr_replace($value, '****', 3, 4)，比正则快，且避免 PCRE 编译开销 - 国际号需先清洗：
$clean = preg_replace('/[^0-9]/', '', $value); return substr_replace($clean, '****', 3, 4); - 邮箱脱敏要拆分处理：
[$local, $domain] = explode('@', $value, 2);，仅掩码$local中间字符，$domain保持原样 - 关联模型（如
with('profile')）不会继承主模型的访问器，Profile模型必须单独定义getPhoneAttr
hidden 和 afterRead 各司其职，别混用
hidden 是字段屏蔽，afterRead 是结果后处理，两者目标不同、触发时机不同、适用范围也不同。
立即学习“PHP免费学习笔记（深入）”；
-
protected $hidden = ['password', 'id_card']只影响toArray()、toJson()输出，但不改变字段值本身；它对$user->getData('id_card')或日志记录无效 -
afterRead在查询结果转成模型对象后触发，适合做动态脱敏（如根据用户角色决定是否脱敏），但只对 ORM 查询（select()、find()）生效，Db::table()->select()不触发 - 不要在
afterRead里改$this->data['mobile']来“覆盖原始值”——这会导致下次save()把脱敏串写回数据库，属于严重误用 - 导出 Excel 或写日志时，
hidden和访问器都失效，必须显式调用工具函数：$list->each(fn($u) => $u->mobile = Anonymize::mobile($u->mobile))
导出、日志、API 直出这些地方最容易漏脱敏
脱敏失效高发区不在列表页，而在那些绕过模型序列化的路径：Excel 导出用 $list->all()、日志写 Log::write($request->param())、API 返回写 return json_encode($user) —— 这些操作都不走访问器，也不识别 hidden，等于裸奔。
- 导出前统一用 collection 处理：
$list->each(fn($u) => $u->mobile = Anonymize::mobile($u->mobile))，而不是拼数组或调getData() - 日志记录绝不能直接传
$request->param()，必须先过滤敏感键：maskSensitiveData($params, ['password', 'token', 'id_card']) - API 接口若需明文与脱敏共存，用
append加字段：protected $append = ['mobile_raw'];，再在getMobileRawAttr里返回原始值 -
json($user)是安全的，但echo json_encode($user)不安全——前者走 ThinkPHP 序列化流程，后者走 PHP 原生，跳过所有模型逻辑
最常被忽略的一点：脱敏是读取时的映射行为，不是存储或查询行为。你在数据库里搜 where('mobile', '138****5678') 永远查不到数据——因为脱敏只发生在 select 之后，不影响 SQL 条件构造。想支持模糊搜脱敏值，得另建索引字段或用搜索中间件，不能指望访问器帮忙。
