MySQL 8.0社区版不支持data_masking插件，仅企业版提供；社区版应采用生成列+视图+权限控制组合方案，并在应用层实现脱敏，日志需通过采集侧正则清洗或应用层预处理。
data_masking 插件在 MySQL 8.0 社区版中根本不可用——这不是配置问题，是功能缺失。企业版才自带该插件，社区版用户强行执行 INSTALL PLUGIN data_masking SONAME 'data_masking.so' 会直接报错 Plugin 'data_masking' is not loaded 或提示共享库找不到。
确认你用的真是企业版
运行这条语句：SELECT VERSION(), @@version_comment;
如果返回结果里含 MySQL Community Server，就别再折腾插件路径或 plugin_dir 配置了——data_masking.so 根本不存在于你的安装包里。
- 企业版用户需先检查
plugin_dir下是否有data_masking.so（Linux）或data_masking.dll（Windows） - 确认后执行：
INSTALL PLUGIN data_masking SONAME 'data_masking.so'; - 再逐个注册函数，例如：
CREATE FUNCTION mask_inner RETURNS STRING SONAME 'data_masking.so'; - 注意：部分函数（如
gen_dictionary_load）需要SUPER权限
社区版别硬上插件，用生成列+视图更可控
替代方案不是“退而求其次”，而是更安全、更易审计的选择。生成列能把脱敏逻辑固化进表结构，避免每次查询手写 CONCAT(SUBSTR(...))。
- 加虚拟生成列（不存物理值，查时计算）：
ALTER TABLE users ADD COLUMN phone_masked VARCHAR(13) AS (CONCAT(LEFT(phone,3), '****', RIGHT(phone,4))) VIRTUAL; - 加存储型生成列（支持索引，适合高频过滤）：
ALTER TABLE users ADD COLUMN id_card_masked VARCHAR(18) AS (CONCAT(LEFT(id_card,1), REPEAT('*', LENGTH(id_card)-5), RIGHT(id_card,4))) STORED; - 身份证号不能只截前6位——地区码本身可识别归属地，必须遮掩中间段
- 视图仅作封装层，无法阻止用户绕过视图直查基表，所以必须配合权限控制：
REVOKE SELECT ON db.users FROM 'analyst'@'%'; GRANT SELECT ON db.users_masked_view TO 'analyst'@'%';
日志脱敏和 slow_log 的真相
log_slow_extra 不脱敏，它只加 Rows_examined、Lock_time 这类元信息，SQL 文本原样落盘。你在慢日志里看到 WHERE token = 'abc123'，就是明文。
-
general_log更危险：记录所有语句，包括SET PASSWORD，且同样无脱敏能力 - MySQL 服务端不提供任何 SQL 文本重写能力，官方至今没这功能
- 真正能落地的只有两种方式：应用层拼 SQL 前替换敏感值（如把
WHERE phone = '13812345678'改成WHERE phone = '[REDACTED]'），或日志采集侧用 Filebeat/Fluentd 流式正则清洗 - 清洗时注意避开合法含单引号的场景，比如
INSERT INTO log VALUES ('error: ''not found''');
应用层脱敏才是生产环境的主力方案
数据库层脱敏容易被绕过：导出全量、SELECT *、连接池直连、mysqldump —— 只要拿到基表读权限，规则就形同虚设。
- Spring Boot 推荐用
@JsonSerialize(using = PhoneMaskSerializer.class)，在 JSON 序列化阶段处理 - Node.js 可用
class-transformer的@Transform装饰器，比 SQL 表达式更易单元测试 - 警惕前端 JS 脱敏：原始数据仍在响应体里，抓包即得；脱敏必须发生在服务端组装响应阶段
- MyBatis 的
resultMap里写CONCAT()是伪脱敏——ORM 拿到的仍是明文，只是展示时格式化了
