MySQL视图中不写敏感列，该列就彻底不可见——DESCRIBE查不到、SELECT 查不到；但必须显式列出所需字段、禁用SELECT 、收回基表权限、设置SQL SECURITY DEFINER，并对脱敏表达式做NULL和空格兜底。
视图里不写敏感列，它就真的不存在
MySQL 视图不会“过滤”或“遮盖”字段，而是严格按 SELECT 列表投影结果。只要你在 CREATE VIEW 语句中没写 ssn、salary、password_hash 这类字段，它们对视图使用者就是彻底不可见的——连 DESCRIBE view_name 都查不到，更别说 SELECT * 了。
- 必须手写所有需要的列名，严禁在生产环境用
SELECT *；否则基表新增敏感列（如internal_notes）会直接暴露 - 字段名要核对真实拼写：
credit_card_number和cc_no可能是两个不同字段，漏一个就全盘失效 - 别依赖
CASE WHEN 1=0 THEN salary END这类写法——字段仍在元数据里，应用 ORM 可能自动映射，日志也可能捕获 NULL 占位
脱敏表达式必须确定、健壮、带兜底
如果只是隐藏字段还不够，需进一步变形（如手机号只显前3后4），那所有函数必须是确定性的，且处理边界情况。MySQL 会拒绝非确定性视图（比如含 CURRENT_USER() 或 NOW()），还会让 RIGHT(NULL, 4) 返回 NULL，导致整列为空。
- 手机号安全写法：
CONCAT(LEFT(TRIM(phone), 3), '****', RIGHT(TRIM(phone), 4))，加TRIM()防空格，避免长度错乱 - 身份证号注意末位
X：CONCAT(LEFT(id_card, 6), REPEAT('*', 8), RIGHT(TRIM(id_card), 4))，配合建表时的CHECK(LENGTH(TRIM(id_card)) IN (15, 18)) - 每个脱敏字段都要包
IFNULL(..., '')，否则CONCAT遇到 NULL 整列变空，可能触发下游空指针或校验失败
权限回收比建视图重要十倍
视图本身不是安全边界。用户只要有基表的 SELECT 权限，就能绕过视图直查 SELECT ssn FROM users。所谓“隐藏”，完全依赖权限链是否被砍断。
- 必须两步执行：
REVOKE SELECT ON db.users FROM 'app_user'@'%'，再GRANT SELECT ON db.user_safe_view TO 'app_user'@'%' - 用
SHOW GRANTS FOR 'app_user'@'%'确认输出里没有ON db.users这一行——这是唯一可信验证方式 - MySQL 不需要
FLUSH PRIVILEGES；但若旧权限是手动改mysql.user表加的，才需刷新
SQL SECURITY DEFINER 是防越权的硬开关
默认 SQL SECURITY INVOKER 会让视图以调用者身份执行，一旦用户有其他高权限表访问权，可能通过子查询或 JOIN 窃取数据。设为 DEFINER 才能锁定执行上下文，确保只走你定义的逻辑路径。
- 创建时必须显式声明：
CREATE VIEW v AS SELECT ... SQL SECURITY DEFINER -
DEFINER账号（如'dba'@'localhost'）需有基表SELECT权限，但该账号绝不能开放给应用使用 - 切勿在视图里用
CURRENT_USER()做条件判断——MySQL 会报错ERROR 1351，且即使侥幸创建，也会因权限继承导致普通用户拿到原始值
DEFINER 是否可控、以及每个脱敏表达式是否经得起 NULL 和空格的考验。 
