PHP手机号脱敏隐藏中间四位方法

本文深入解析了PHP中手机号脱敏的实战方案，重点对比了高性能的`substr_replace`（适用于标准11位纯数字场景）与灵活鲁棒的`preg_replace`（可智能处理含空格、横线、括号等非标准格式），强调必须前置`trim()`和长度校验以防索引偏移，并指出常见参数误用陷阱；同时明确反对在纯数字场景滥用多字节函数，剖析了PHP层统一脱敏优于数据库层的关键原因——保障原始数据完整性、支持动态权限策略及避免缓存污染；最后提醒开发者：脱敏不是一次编码，而是贯穿API响应、日志输出、报表导出等所有数据出口的系统性防护，务必通过统一函数`maskPhone()`封装并全覆盖边界值测试，否则极易因遗漏某个环节导致敏感信息裸露。

用 substr_replace 快速隐藏手机号中间 4 位

最直接的办法是把字符串第 4 到第 7 位（含）替换成星号，前提是手机号固定 11 位且格式干净。这个函数不依赖正则，性能好、兼容 PHP 5.2+，适合高频脱敏场景。

常见错误现象：substr_replace 参数顺序容易记反，第三个参数是起始位置（从 0 开始），第四个是替换长度；有人误传 3, 4 结果只盖了 3 位，漏掉一位。

• 标准写法：substr_replace($phone, '****', 3, 4) —— 起始索引 3 对应第 4 位（138****1234）
• 必须先校验长度：if (strlen($phone) !== 11)，否则非 11 位号码会错位脱敏
• 别直接对用户输入调用，先 trim() 去空格，否则开头有空格会导致索引偏移

用 preg_replace 处理带分隔符或格式不一的手机号

真实数据里常混着空格、横线、括号，比如 138-1234-5678 或 (138) 1234 5678。这时候硬切位置会崩，得先归一化再脱敏，或者一步正则搞定。

使用场景：后台导出报表、日志打印、调试时临时脱敏，不能破坏原始格式结构（比如保留分隔符位置）。

• 推荐正则：preg_replace('/(\d{3})\D*(\d{4})\D*(\d{4})/', '$1****$3', $phone)
• 注意 \D* 匹配任意非数字字符（包括空、横线、括号），但别用 .*，否则跨行或贪婪匹配会出错
• 如果要兼容座机（如 010-12345678），需另写分支，别强行塞进一个正则里

脱敏函数要不要加 mb_substr_replace 支持中文？

不用。手机号全是 ASCII 数字，substr_replace 完全够用。引入多字节函数反而增加出错概率——PHP 的 mb_ 系列函数默认编码依赖 mb_internal_encoding() 设置，线上环境若没统一设成 UTF-8，可能返回空或乱码。

性能影响：多字节函数比原生函数慢 2–3 倍，纯数字场景毫无必要。

• 确认你的项目没改过 mb_internal_encoding，否则连 mb_strlen 都不准
• 如果真遇到含中文的混合字段（比如“张三138****1234”），先用 preg_match('/\d{11}/', $str, $m) 提取号码再脱敏，别对整串用 mb 函数

数据库层脱敏 vs PHP 层脱敏，选哪个？

优先在 PHP 层做。MySQL 的 INSERT 或 SELECT 里用 CONCAT + SUBSTRING 脱敏，看似省事，但会带来两个硬伤：一是无法复用业务逻辑（比如不同角色看不同脱敏粒度），二是日志、API 返回、缓存序列化都绕不开 PHP 处理。

容易踩的坑：有人在 ORM 查询里写 select CONCAT(LEFT(phone,3), '****', RIGHT(phone,4)) as phone，结果缓存里存的就是已脱敏值，后续运营查原始号就没了。

• 原始数据永远存明文（加密存储是另一回事），脱敏只发生在展示/输出环节
• API 接口统一用一个 maskPhone($phone) 辅助函数，别散落在各处 substr_replace
• 测试时务必覆盖空值、null、false、'0' 这些边界值，substr_replace(null, ...) 会警告

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《PHP手机号脱敏隐藏中间四位方法》文章吧，也可关注golang学习网公众号了解相关技术文章。