真正生效的脱敏必须锚定在模型字段读取出口，即通过正确命名的访问器（如getMobileAttr）、配合$hidden数组、afterRead事件兜底，并避免中间件误操作、原生查询绕过及日志明文输出。
ThinkPHP 接口数据脱敏失败，根本原因往往不是“没写代码”，而是脱敏逻辑落在了错误的执行层——比如误用中间件处理模型字段、漏掉访问器判空、或混用原生查询绕过模型。真正生效的脱敏，必须锚定在模型字段读取出口，而非请求流程中。
检查是否误用中间件做字段脱敏
中间件对模型的 select()、toArray()、toJson() 完全无感知。在中间件里写 $user->mobile = hide_mobile($user->mobile) 是无效的：此时模型属性已加载完毕，修改的是临时对象副本，序列化输出时仍用原始值。
- Db::table('user')->select() 这类原生查询不经过模型，访问器不起作用，脱敏必然失效
- 若用 Collection 或关联模型（如
$user->posts），中间件手动遍历修改会破坏对象结构和延迟加载 - 真正要拦截的不是“请求”，而是“字段被读取并准备输出”的那一刻——这只能由模型访问器触发
确认模型访问器是否正确定义与启用
字段脱敏唯一可靠的方式，是在模型中定义标准命名的访问器，例如 getMobileAttr、getIdCardAttr。框架会在所有字段读取场景（toArray()、toJson()、模板渲染、withAttr()）自动调用。
- 函数名必须严格匹配：首字母大写 + 字段名驼峰 + Attr 后缀，如
getBankCardAttr - 必须判空：
if (empty($value) || !is_string($value)) { return $value; }，否则null或整型传入substr_replace()会触发 warning - 配合
hidden数组使用：把原始字段（如mobile）加入protected $hidden = ['mobile']，避免未走访问器的直读漏脱敏
验证 afterRead 事件是否补全边界场景
访问器对单条模型有效，但对批量 Collection 或关联嵌套中的子模型，有时因加载时机问题未能触发。此时需用 afterRead 事件兜底，在模型数据载入后统一处理。
立即学习“PHP免费学习笔记（深入）”；
- 在模型的
initialize()中绑定：self::afterRead(function ($model) { $model->mobile = hide_mobile($model->mobile); }); - 注意：该回调中修改的是模型实例本身，不影响数据库，仅作用于当前内存对象
- 若字段有多个（mobile、id_card、bank_card），建议封装一个通用脱敏方法，在事件中批量调用
排查日志与调试输出导致的“假脱敏”
接口返回看起来已脱敏，但日志里却出现明文手机号或身份证号——这不是接口问题，而是日志记录环节未过滤。
-
Log::write($user->toArray(), 'info')会直接输出原始字段，绕过所有访问器逻辑 - 应改用预处理：
Log::record(maskSensitiveData($user->toArray()), 'info')，其中maskSensitiveData()递归替换敏感键（不区分大小写）为[REDACTED] - 特别注意第三方回调、支付通知等入口，
$request->param()默认不脱敏，必须手动处理再记录
