使用PHP对数据库敏感数据脱敏，可通过字符串函数、正则替换、SQL层处理、封装函数库及框架中间件等方式实现，保障用户隐私安全。
如果您在处理PHP应用程序中的数据库数据时，发现敏感信息（如身份证号、手机号、邮箱等）直接暴露，可能会导致隐私泄露风险。为了保障用户数据安全，需要对这些敏感字段进行脱敏处理。以下是几种常见的PHP数据库数据脱敏方法。
本文运行环境：Lenovo ThinkPad X1 Carbon，Ubuntu 24.04
一、使用字符串截取与替换函数进行脱敏
通过PHP内置的字符串处理函数，可以对敏感字段的部分字符进行隐藏，常用于手机号、身份证号等固定格式的数据脱敏。
1、获取原始数据字段，例如用户的手机号 $phone = '13812345678'。
立即学习“PHP免费学习笔记（深入）”；
2、使用 substr 函数保留前三位和后四位，中间用星号代替：substr($phone, 0, 3) . '****' . substr($phone, -4)。
3、对于邮箱地址，可采用 explode 分割字符串，隐藏用户名部分，如：$user.'@'. $domain → '***@'.$domain。
二、正则表达式匹配脱敏
利用正则表达式精准识别特定格式的敏感信息，并统一替换为脱敏格式，适用于批量处理复杂文本中的隐私内容。
1、定义手机号的正则模式：'/(1[3-9]\d{9})/')，并使用 preg_replace 进行替换。
2、将匹配到的每组手机号替换为：preg_replace('/(1[3-9]\d{3})\d{4}(\d{4})/', '$1****$2', $text)。
3、同样可编写身份证号正则（如 /(^\d{6})\d{8}(\d{4}$)/），实现前六位和后四位保留，中间隐去。
三、在数据库查询层进行脱敏
通过SQL语句直接在查询结果中完成脱敏，减少PHP逻辑层的处理压力，适合只读场景下的快速响应。
1、在 SELECT 语句中使用 SUBSTRING 和 CONCAT 函数处理敏感字段，例如：
SELECT CONCAT(SUBSTRING(phone,1,3),'****',SUBSTRING(phone,-4)) AS masked_phone FROM users;
2、将脱敏逻辑封装为数据库视图，应用只需查询视图即可获得已脱敏数据。
四、创建通用脱敏函数库
将常用脱敏规则封装成可复用的函数，提高代码维护性与一致性，便于在多个项目中调用。
1、定义一个名为 maskPhoneNumber 的函数，接收手机号参数并返回脱敏结果。
2、建立数组映射不同字段类型对应的脱敏策略，如：$masks = ['phone' => 'maskPhone', 'id_card' => 'maskIdCard']。
3、遍历查询结果集，根据字段名自动调用对应脱敏函数。
五、结合中间件或ORM实现自动脱敏
在Laravel等框架中，可通过Eloquent模型的访问器（Accessor）机制，在数据输出前自动执行脱敏操作。
1、在模型类中定义 getPhoneAttribute 方法，对该属性获取时自动处理。
2、使用 accessor 返回脱敏后的值，原始数据库存储保持不变。
3、配置中间件，在响应发送前扫描JSON数据中的敏感键名，并批量执行脱敏替换。
