<p>PHP 8.3 实现 API 数据脱敏核心是在 jsonencode() 前对最终响应数组副本做真实值替换，需严格校验手机号/身份证格式、用 mb* 处理中文姓名、避免动态属性与全局替换，并同步覆盖导出和日志等所有出口。</p>
PHP 8.3 实现 API 接口数据脱敏，核心是“在响应输出前、JSON 序列化之前”，对敏感字段做真实值替换，而不是样式隐藏或前端处理。它不依赖新语法特性，但需适配 PHP 8.3 对动态属性和反射的更严格限制（比如禁止绕过只读字段序列化），所以逻辑必须显式、可控、可验证。
脱敏必须发生在 json_encode() 之前
很多问题出在：控制器里改了 $user->phone，但没动 $user->id_card；或者用了 toArray()，但模型里原始字段仍保留；又或者脱敏写在中间件里，却漏掉了 DTO 或 Resource 类中的字段。结果 json_encode() 一执行，所有未覆盖的原始值全暴露。
- 脱敏操作要作用于最终要输出的数组副本，例如：不要直接改数据库模型对象属性，而要构建一个干净的响应数组再处理
- 若用 Laravel，优先在 Resource 类的
toArray()或jsonSerialize()中调用脱敏函数，确保每次序列化都走同一逻辑 - 避免使用 __get / __set 动态代理脱敏——PHP 8.3 下未声明的动态属性会触发弃用警告，且反射序列化可能跳过它们
手机号与身份证号：清洗→校验→替换三步不能少
硬编码切片（如 substr_replace($s, '****', 3, 4)）在脏数据下极易失效。PHP 8.3 不改变字符串函数行为，但更强调输入可靠性。
- 手机号：先
preg_replace('/\D/', '', $phone)清除非数字字符，再判断是否为 11 位且匹配号段/^1[3-9]\d{9}$/，通过才substr_replace($clean, '****', 3, 4) - 身份证号：先用
strlen($id) === 18或strlen($id) === 15分类，再分别处理；末位 X/x 必须原样保留，不可强制转大写，否则影响下游系统校验 - 不匹配的数据（如空值、含字母、长度异常）应原样返回或按业务规则转为 null/空字符串，不强行掩码
中文姓名与多字节安全：必须用 mb_* 函数
PHP 8.3 仍默认使用 UTF-8 编码，但 substr() 按字节截取中文会乱码。复姓（欧阳、司马）也不能靠取第一个字符解决。
立即学习“PHP免费学习笔记（深入）”；
- 用
mb_strlen($name, 'UTF-8')获取真实字符数，再用mb_substr($name, 0, 1, 'UTF-8')取首字符 - 简单统一策略：首字符 + '**'，例如
mb_substr($name, 0, 1, 'UTF-8') . '**'；如需支持复姓，需预置复姓列表并匹配前两个字符 - 避免 str_replace() 全局替换数字或星号——它会误伤地址、金额等字段里的合法内容
导出与日志场景同样要脱敏
API 接口不只是 JSON 返回，还包括 Excel/CSV 导出、错误日志记录等出口。这些地方常被忽略，却是泄露高发区。
- 导出 CSV 前，对每个字段值做清理：
str_replace(["\r", "\n", "\t"], ' ', $val)，再转字符串(string)$val ?: ''，防止 fputcsv 异常或换行注入 - 日志中禁止直接
error_log(print_r($request, true))，应先过滤敏感键（如 password、id_card、token），再记录 - Excel 导出时，绝不能靠单元格字体设为白色或条件格式“隐藏”——用户复制粘贴或解压 .xlsx 就能拿到原文；必须在写入前真实替换字段值
