Apache ShardingSphere 的数据脱敏（数据掩码）功能-优快云博客

本文链接：https://blog.youkuaiyun.com/csdn_tom_168/article/details/149161921

Apache ShardingSphere 的数据脱敏（数据掩码）功能是企业级数据安全的最后一道防线！以下是其设计精髓与工业级实践指南：

🎭 数据脱敏 vs 数据加密：本质差异

维度	数据加密	数据脱敏
目的	防止数据泄露（存储安全）	隐藏敏感信息（展示安全）
可逆性	需密钥解密还原	不可逆，原始数据被永久替换
使用场景	存储/传输保护	日志输出、报表展示、测试数据共享
性能损耗	高（加解密计算）	极低（字符串替换）

🛡️ 脱敏核心三要素

1. 逻辑列 (Logic Column)

业务SQL中的字段名（如 id_card）
应用无感知：SELECT name, id_card FROM users

2. 脱敏列 (Mask Column)

存储脱敏数据的物理列（如 id_card_mask）
特点：永久替代原始值，无还原可能

3. 脱敏算法 (Mask Algorithm)

定义如何转换敏感数据（如身份证保留前3后4位）

⚙️ 脱敏规则配置解剖

rules:
- !MASK
  tables:
    t_user:
      columns:
        phone:  # 逻辑列
          maskColumn: phone_mask  # 脱敏列
          maskAlgorithm: phone_mask_algo  # 算法
  maskAlgorithms:
    phone_mask_algo:
      type: KEEP_FIRST_LAST_3  # 内置算法
      props:
        first-chars: 3
        last-chars: 4
        replace-symbol: '*'  # 替换符

🔧 内置脱敏算法大全

算法类型	转换示例	适用场景
`KEEP_FIRST_LAST_3`	1381234 → 138**1234	手机号/银行卡号
`KEEP_FROM_X_TO_Y`	张三丰 → 张*丰	姓名脱敏
`MD5`	123456 → e10adc3949ba59abbe56e057f20f883e	不可逆标识化
`UNIFORM_RANDOM_REPLACE`	北京市海淀区 → 上海市黄浦区	地址随机化
`FIXED_CHAR_REPLACE`	test@domain.com → @.com	邮箱全隐藏

🚀 动态脱敏工作流

📝 写入场景（持久化脱敏）

/* 原始SQL */
INSERT INTO t_user (phone) VALUES ('13800138000');

/* ShardingSphere 执行 */
INSERT INTO t_user (phone, phone_mask) 
VALUES (
  '13800138000',  -- 原始值（可选存储）
  '138****8000'   -- 脱敏值
);

🔍 查询场景（实时脱敏）

/* 应用查询 */
SELECT phone FROM t_user;

/* 根据用户权限动态返回 */
-- 管理员 → 13800138000
-- 普通用户 → 138****8000

⚠️ 关键限制与破解之道

1. 脱敏与加密列冲突

问题：同一字段同时配置加密和脱敏
现象：加密后的密文被脱敏算法破坏
解决方案：分层处理链

columns:
  id_card:
    cipherColumn: id_card_cipher  # 先加密
    maskColumn: id_card_mask      # 再脱敏
    encryptor: aes_encryptor      # 加密器
    maskAlgorithm: id_card_mask   # 脱敏器

2. 关联查询失效

问题：JOIN ON user.id_card = order.id_card
原因：左表原始值 vs 右表脱敏值无法匹配
解决方案：统一路由到脱敏列关联

SELECT * FROM t_user u 
JOIN t_order o ON u.id_card_mask = o.id_card_mask

3. 聚合统计失真

问题：COUNT(DISTINCT id_card_mask) 虚高
原因：不同原始值可能生成相同脱敏值
破解方案：

/* 精确统计需切到特权账号 */
PROXY SET VARIABLE mask=off;  -- 临时关闭脱敏
SELECT COUNT(DISTINCT id_card) FROM t_user;

🏆 企业级最佳实践

场景：金融用户数据展示

maskAlgorithms:
  bank_card_mask: 
    type: KEEP_FIRST_LAST_3
    props:
      first-chars: 6  # 保留发卡行标识
      last-chars: 4
      replace-symbol: '•'
  
  name_mask:
    type: KEEP_FIRST_LAST_1  # 张*丰
    props:
      middle-symbol: '○'  # 使用圆形符号

动态权限控制

// 根据Spring Security权限动态脱敏
public class RoleBasedMaskEngine {
    public String mask(String data, String role) {
        if ("ADMIN".equals(role)) 
            return data;  // 管理员看明文
        return MaskAlgorithm.mask(data); 
    }
}

审计日志脱敏

# 日志脱敏规则
logging:
  mask:
    patterns:
      - regex: '(\d{3})\d{4}(\d{4})'  # 手机号
        replacement: '$1****$2'
      - regex: '([A-Z])\w+'           # 姓名
        replacement: '$1**'

🧩 性能优化方案

脱敏计算下沉数据库

/* 使用数据库函数避免网络传输 */
CREATE FUNCTION mask_phone(phone VARCHAR(20))
RETURNS VARCHAR(20)
BEGIN
   RETURN CONCAT(SUBSTR(phone,1,3), '****', SUBSTR(phone,-4));
END

/* ShardingSphere 配置 */
maskAlgorithms:
  db_native_mask:
    type: NATIVE_SQL
    props:
      function: mask_phone(?)  # 调用数据库函数

列存优化

ALTER TABLE t_user 
  SET COLUMN phone_mask COMPRESS LOW;  -- 低频访问列压缩

🔍 脱敏效果验证系统

校验规则示例：

def test_phone_mask(phone, mask):
    if len(phone) != 11: return False
    return mask[0:3] == phone[0:3] and mask[7:] == phone[7:] and '*' in mask[3:7]