首先使用字符串替换或正则表达式对手机号、邮箱等敏感数据进行基础脱敏，再通过加密哈希结合实现可逆处理，接着在数据库查询层自动拦截敏感字段统一过滤，最后可集成第三方库提升效率与安全性。
如果您在开发Web应用时需要对敏感数据进行保护，防止用户隐私泄露，则需要在PHP代码中实现数据脱敏处理。以下是几种常见的实现方式和技术手段。
本文运行环境：MacBook Pro，macOS Sonoma
一、使用字符串替换函数进行基础脱敏
对于简单的敏感信息如手机号、身份证号，可以通过截取字符串并替换中间部分字符实现脱敏。这种方法适用于不需要加密还原的展示场景。
1、使用 substr 函数截取前几位和后几位字符。
立即学习“PHP免费学习笔记（深入）”；
2、将中间部分用星号 * 或其他占位符代替。
3、例如对手机号 13812345678 脱敏为 138****5678，可编写如下代码：
$phone = "13812345678";
$masked = substr($phone, 0, 3) . "****" . substr($phone, 7);
4、输出结果即可在页面或接口中安全显示。注意不要在日志中直接打印原始数据。
二、通过正则表达式批量处理多类型数据
当需要同时处理多种格式的敏感信息（如邮箱、银行卡号、身份证）时，使用正则匹配能更高效地统一脱敏规则。
1、定义包含各类敏感信息格式的正则模式。
2、使用 preg_replace_callback 对匹配内容执行回调函数进行脱敏。
3、例如匹配中国大陆手机号：/1[3-9]\d{9}/，找到后将其替换为前三位+****+后四位。
4、对邮箱地址匹配 local@domain.com 格式，可保留首字母和@后内容，中间用*填充。确保正则表达式准确避免误伤正常文本。
三、利用加密与哈希结合的方式实现可逆脱敏
某些业务场景下需要在特定权限下恢复原始数据，此时应采用加密算法而非简单遮蔽。
1、使用 openssl_encrypt 对敏感字段进行AES加密，密钥由系统安全管理。
2、存储加密后的数据，并在展示时根据用户权限判断是否解密。
3、对于无需还原但需唯一标识的数据（如身份证），可使用 hash() 函数生成SHA256哈希值。
4、配合加盐机制提升安全性，防止彩虹表攻击。加密密钥必须独立存储且禁止硬编码在代码中。
四、在数据库查询层自动拦截敏感字段
为减少业务代码侵入性，可在数据访问层统一处理脱敏逻辑，确保所有出口数据均经过处理。
1、创建中间服务类，在返回结果前检查字段名是否属于敏感列表。
2、识别到如 id_card、bank_card、mobile 等字段时自动调用脱敏方法。
3、结合 Laravel Eloquent 的 accessor 或 ThinkPHP 的获取器功能实现透明化处理。
4、设置环境开关，允许在开发环境中显示明文以便调试。生产环境必须强制开启脱敏过滤。
五、集成第三方库提升脱敏效率
借助成熟的开源组件可以快速实现复杂脱敏策略，并提高代码可维护性。
1、通过 Composer 安装支持数据掩码的库，如 ramsey/string-mask。
2、引入命名空间后调用其提供的 mask 方法，设定保留位数和掩码字符。
3、配置规则集用于不同数据类型，例如手机号规则、地址规则等。
4、定期更新依赖库以修复潜在安全漏洞。仅从官方源安装并验证包签名。
