一、

在开发使用者信息模块时往往会遇到这样一个痛点：手机号、邮箱等敏感字段直接明文返回给前端，导致接口被抓包或日志泄露时使用者隐私全被暴露。

{
"username": "测试使用者","phone": ""。❌ 明文暴露
"email": ""
❌
}

如果不及时做脱敏，一旦接口被监听，攻击者就能轻松获取完整的个人信息。正确的做法是返回脱敏后的数据

{
"username": "测试使用者","phone": "****",✅
"email": "t***@qq.com"
✅
}

二、主要实现：四个关键组件

说到组件1，脱敏类型枚举 SensitiveType

定义所有需要脱敏的字段类型：

public enum SensitiveType {
MOBILE。// 手机号
EMAIL,// 邮箱
ID_CARD // 身份证
}

组件2这方面，打码规则类 SensitiveUtils

统一实现各种字段的掩码逻辑：

public class SensitiveUtils {
/** 手机号：保留前3后4位，其余用 **** 替换 */
public static String maskMobile {
if!= 11) {
return mobile;// 格式不符时原样返回，不抛异常
}
return mobile.substring + "****" + mobile.substring;}
/** 邮箱：保留首字母和 @ 后面的域名，其余用 **** 替换 */
public static String maskEmail {
if ) {
return email;}
int atIndex = email.indexOf;return email.substring + "****" + email.substring;}
/** 身份证：保留前3后4位，其余用 *********** 替换 */
public static String maskIdCard {
if!= 18) {
return idCard;}
return idCard.substring + "***********" + idCard.substring;说起来，}
}

至于组件3。脱敏序列化器 SensitiveJsonSerializer

在 Jackson 序列化时根据字段注解自动打码：

public class SensitiveJsonSerializer extends JsonSerializer
implements ContextualSerializer {
private SensitiveType type;public SensitiveJsonSerializer {}
private SensitiveJsonSerializer { this.type = type;}
@Override
public void serialize(String value,JsonGenerator gen。SerializerProvider serializers)
throws IOException {
if { gen.writeNull;
return，}
gen.writeString);
}
@Override
public JsonSerializer createContextual(SerializerProvider prov,BeanProperty property)
throws JsonMappingException {
if {
Sensitive annotation = property.getAnnotation;if {
return new SensitiveJsonSerializer);}
}
return this;}
private String mask {
switch {
case MOBILE: return SensitiveUtils.maskMobile;说起来，case EMAIL: return SensitiveUtils.maskEmail;case ID_CARD: return SensitiveUtils.maskIdCard;
default: return value;怎么说呢，}
}
}

组件4的观点是，脱敏注解 @Sensitive

通过自定义注解标记需要脱敏的字段，并让 Jackson 能识别：

@Target
@Retention
@Documented
@JacksonAnnotationsInside // 必须。让 @Sensitive 等价于 @JsonSerialize
@JsonSerialize
public @interface Sensitive {
/** 脱敏类型，默认手机号 */
SensitiveType type default SensitiveType.MOBILE;}

使用示例这方面，

public class UserProfileVO {
@Sensitive
private String phone;@Sensitive
private String email;// ...其它字段
}

三、完整数据流示意图

1. 数据库存储完整值，如 phone=“13812345678”。
2. Controller 从 User 实体取值并复制到 VO 对象。
3. 调用 Result.success;VO 中带有 @Sensitive.
4. Jackson 在序列化时检测到 @Sensitive。调用 SensitiveJsonSerializer.maskMobile,输出 “****”。
5. 前端收到 JSON 中 phone 字段已被遮蔽。

*注意*: 数据库中始终存放完整值，脱敏只是在展示层进行；若要保护存储层，应考虑加密或哈希方案。

四、关键技术点解析

• Jackson 默认无法识别自定义注解。
• @JacksonAnnotationsInside 的作用是让自定义注解内部包含 Jackson 注解。从而等价于直接使用 @JsonSerialize.
• Add it 后@Sensitive 自动继承了序列化器配置，Jackson 就能触发我们的打码逻辑。老实说，

@ContextualSerializer 有什么用？

• "createContextual" 在每次序列化某字段之前被调用。
• "property.getAnnotation" 能读取该字段上的注解内容。
• "type" 信息随后传给新的 serializer 实例，实现不同字段不同打码规则。

*五、*

This solution provides a clean separation 娱乐ween business logic and security concerns:

• #1 定义脱敏类型枚举；#2 编写通用打码工具类；#3 创建自适应序列化器；#4 用自定义注解标记业务实体。老实说，