PHP手机号脱敏处理技巧分享

本文深入解析了PHP中手机号脱敏的实战方案，涵盖从最简高效的substr_replace直接替换，到兼容各种分隔符与格式混乱场景的preg_replace正则处理，并强调必须前置trim()和11位校验以避免索引偏移；同时指出多字节函数在纯数字场景下的冗余与风险，明确推荐统一封装maskPhone函数在PHP层集中管控脱敏逻辑，杜绝数据库层脱敏带来的复用性差、缓存污染等隐患——看似简单的星号遮盖，实则处处是坑，稍有疏忽便导致敏感信息泄露，堪称开发者上线前不可忽视的安全细节课。

用 substr_replace 快速隐藏手机号中间 4 位

最直接的办法是把字符串第 4 到第 7 位（含）替换成星号，前提是手机号固定 11 位且格式干净。这个函数不依赖正则，性能好、兼容 PHP 5.2+，适合高频脱敏场景。

常见错误现象：substr_replace 参数顺序容易记反，第三个参数是起始位置（从 0 开始），第四个是替换长度；有人误传 3, 4 结果只盖了 3 位，漏掉一位。

• 标准写法：substr_replace($phone, '****', 3, 4) —— 起始索引 3 对应第 4 位（138****1234）
• 必须先校验长度：if (strlen($phone) !== 11)，否则非 11 位号码会错位脱敏
• 别直接对用户输入调用，先 trim() 去空格，否则开头有空格会导致索引偏移

用 preg_replace 处理带分隔符或格式不一的手机号

真实数据里常混着空格、横线、括号，比如 138-1234-5678 或 (138) 1234 5678。这时候硬切位置会崩，得先归一化再脱敏，或者一步正则搞定。

使用场景：后台导出报表、日志打印、调试时临时脱敏，不能破坏原始格式结构（比如保留分隔符位置）。

• 推荐正则：preg_replace('/(\d{3})\D*(\d{4})\D*(\d{4})/', '$1****$3', $phone)
• 注意 \D* 匹配任意非数字字符（包括空、横线、括号），但别用 .*，否则跨行或贪婪匹配会出错
• 如果要兼容座机（如 010-12345678），需另写分支，别强行塞进一个正则里

脱敏函数要不要加 mb_substr_replace 支持中文？

不用。手机号全是 ASCII 数字，substr_replace 完全够用。引入多字节函数反而增加出错概率——PHP 的 mb_ 系列函数默认编码依赖 mb_internal_encoding() 设置，线上环境若没统一设成 UTF-8，可能返回空或乱码。

性能影响：多字节函数比原生函数慢 2–3 倍，纯数字场景毫无必要。

• 确认你的项目没改过 mb_internal_encoding，否则连 mb_strlen 都不准
• 如果真遇到含中文的混合字段（比如“张三138****1234”），先用 preg_match('/\d{11}/', $str, $m) 提取号码再脱敏，别对整串用 mb 函数

数据库层脱敏 vs PHP 层脱敏，选哪个？

优先在 PHP 层做。MySQL 的 INSERT 或 SELECT 里用 CONCAT + SUBSTRING 脱敏，看似省事，但会带来两个硬伤：一是无法复用业务逻辑（比如不同角色看不同脱敏粒度），二是日志、API 返回、缓存序列化都绕不开 PHP 处理。

容易踩的坑：有人在 ORM 查询里写 select CONCAT(LEFT(phone,3), '****', RIGHT(phone,4)) as phone，结果缓存里存的就是已脱敏值，后续运营查原始号就没了。

• 原始数据永远存明文（加密存储是另一回事），脱敏只发生在展示/输出环节
• API 接口统一用一个 maskPhone($phone) 辅助函数，别散落在各处 substr_replace
• 测试时务必覆盖空值、null、false、'0' 这些边界值，substr_replace(null, ...) 会警告

脱敏看着简单，真正上线后最容易翻车的是「以为自己处理了，其实漏了某个出口」——比如导出 Excel 的代码没走统一函数，或者日志 SDK 自动打印了原始变量。留个心眼，所有可能输出手机号的地方，都得过一遍。

以上就是《PHP手机号脱敏处理技巧分享》的详细内容，更多关于的资料请关注golang学习网公众号！