最稳妥做法是导出前用 array_map 清洗敏感字段：查出原始数据后，通过预定义脱敏规则数组统一处理，避免sql层拼接或硬编码；大数量时优先字符串截取而非正则；导出csv前清理不可见字符、规范空值与特殊符号；开启缓冲前禁用notice级错误输出；身份证脱敏需先标准化再按长度分情况处理，并校验匹配结果。
导出前用 array_map 清洗敏感字段最稳妥
PHP 导出（比如 CSV、Excel）时，敏感字段（手机号、身份证、邮箱）不能原样写入文件，必须脱敏。直接在 SQL 查询里用 CONCAT 或 REPLACE 拼接，看似省事，但容易漏掉逻辑分支（比如导出条件变化时字段动态增减），也难统一维护。更可控的做法是：查出原始数据后，在 PHP 层做字段映射清洗。
常见错误是写一堆 $row['phone'] = substr($row['phone'], 0, 3) . '****' . substr($row['phone'], -4); 这类硬编码，一来重复多，二来字段名改了就崩，三来无法复用到其他导出场景。
- 用
array_map+ 预定义脱敏规则数组，把清洗逻辑和数据分离 - 规则格式如：
['phone' => fn($v) => $v ? substr($v, 0, 3) . '****' . substr($v, -4) : '', 'id_card' => fn($v) => preg_replace('/(\d{4})\d{10}(\d{4})/', '$1********$2', $v)] - 注意：
array_map默认不保留键名，要用array_combine(array_keys($data), array_map(...))或改用foreach显式赋值 - 如果导出量大（>10 万行），避免在回调里做正则或多次
substr，优先用字符串截取 + 字符串拼接，比正则快 3–5 倍
导出 CSV 时别用 fputcsv 直接吐原始数组
fputcsv 看似方便，但它对 null、空字符串、含逗号/换行的字段处理有隐式行为，一旦敏感字段脱敏后生成了 **** 这类符号，又恰好和 CSV 分隔逻辑冲突（比如脱敏后的邮箱变成 user****@domain.com，中间没逗号倒没事，但若某人昵称含换行，fputcsv 会自动加引号——而你根本没检查过原始数据是否含 \n）。
更麻烦的是：有些脱敏规则会返回 null（比如身份证为空时不想显示 ****），fputcsv 会把它转成空字符串，但下游系统可能把空字符串当“未脱敏”误判。
立即学习“PHP免费学习笔记（深入）”；
- 导出前统一用
str_replace(["\r", "\n", "\t"], ' ', $value)清理不可见字符 - 对可能为
null的字段，强制转成字符串：(string) $value ?: '' - 如果字段值本身含双引号，
fputcsv会自动转义，但某些老旧 Excel 版本解析异常，建议统一替换成中文全角符号（如＂）或直接删掉 - 不要依赖
fputcsv的自动引号包裹，自己控制：值含逗号/换行/双引号时才包上"..."
用 ob_get_contents 捕获输出前务必关掉所有 warning
导出常走 ob_start() → 写内容 → ob_get_contents() → 清空缓冲 → 输出文件流这条路。但只要脱敏函数里触发了 Notice: Trying to access array offset on value of type null 这类 warning，ob_get_contents() 就会把 warning 文本一起捕获进去，导致 CSV 文件开头多出几行 PHP 错误，Excel 打开直接报错或乱码。
这不是脱敏逻辑的问题，而是错误报告级别没管住。线上环境开了 display_errors = On 或开发者本地开了 Xdebug 提示，都会中招。
- 导出开始前加
error_reporting(E_ALL & ~E_NOTICE & ~E_DEPRECATED); - 禁用
ini_set('display_errors', '0');，防止 warning 泄露到输出缓冲 - 如果用了第三方库（比如 PhpSpreadsheet），确认它没在内部调
trigger_error；有就用set_error_handler临时拦截 - 导出完成后记得恢复错误级别，别影响后续请求
身份证脱敏别只截前后，得防 preg_match 匹配失败
用正则匹配并脱敏身份证（15 或 18 位）很常见，比如 preg_replace('/^(\d{4})\d{10}(\d{4})$/', '$1********$2', $id)。但实际数据里常混着空格、X、字母小写、甚至全角数字，正则直接跪。更隐蔽的是：有些老系统存的是 15 位旧证号，或者末尾校验码是字母 x，大小写不统一，preg_replace 默认不忽略大小写，x 和 X 就会漏脱敏。
- 先标准化：用
str_replace([' ', ' ', 'X'], ['', '', 'x'], $id)清理空白和校验码 - 再统一转小写 + 数字过滤：
preg_replace('/[^0-9x]/', '', strtolower($id)) - 最后按长度分情况脱敏：
strlen($cleaned) === 18 ? substr($cleaned, 0, 6) . '******' . substr($cleaned, -3) : substr($cleaned, 0, 4) . '****' . substr($cleaned, -3) - 永远检查
preg_replace返回值是否等于原值——等于说明没匹配上，得 fallback 到兜底脱敏（比如全打 *）
脱敏不是越花哨越安全，是越确定越可靠。比如手机号固定 11 位，就别用正则猜格式，直接 strlen($phone) === 11 判断后再截取；身份证同理，长度+字符集双校验，比单靠正则靠谱得多。
