Java中实现数据脱敏的常见方案包括字符串替换、注解+反射、JSON序列化器、数据库层脱敏四种，以下从技术原理、实现步骤、优缺点及适用场景展开详细解析：
一、字符串替换进行简单脱敏技术原理：通过截取字符串的固定位置，用“*”等符号替换中间字符，适用于格式固定的敏感字段（如手机号、身份证号）。实现步骤：
- 定义脱敏方法，传入原始字符串和替换规则（如起始、结束位置）。
- 使用substring或循环遍历字符，替换指定位置的字符为“*”。示例代码：
// 手机号脱敏（1385678）public static String maskPhone(String phone) { if (phone == null || phone.length() < 11) return phone; return phone.substring(0, 3) + "" + phone.substring(7);}// 通用脱敏方法public static String maskString(String input, int start, int end) { if (input == null || input.length() <= start) return input; StringBuilder sb = new StringBuilder(); for (int i = 0; i < input.length(); i++) { if (i >= start && i < end) { sb.append('*'); } else { sb.append(input.charAt(i)); } } return sb.toString();}优点：
- 实现简单，性能高，适合实时性要求高的场景（如日志脱敏）。缺点：
- 对复杂结构（如JSON、数据库表）处理不灵活，需手动适配每个字段。适用场景：
- 快速脱敏固定格式字段，如日志记录、简单数据展示。
二、注解+反射实现字段级脱敏技术原理：通过自定义注解标记敏感字段，利用反射在序列化前自动执行脱敏逻辑。实现步骤：
- 定义@Sensitive注解，标注脱敏类型（如手机号、身份证）。
- 在实体类字段上添加注解，例如：public class User { @Sensitive(type = SensitiveType.MOBILE) private String mobile;}
- 编写工具类，通过反射遍历字段，发现注解后调用对应脱敏方法。示例代码：
// 定义注解@Retention(RetentionPolicy.RUNTIME)@Target(ElementType.FIELD)public @interface Sensitive { SensitiveType type();}// 工具类实现public class SensitiveUtils { public static Object mask(Object obj) throws IllegalAccessException { if (obj == null) return null; Field[] fields = obj.getClass().getDeclaredFields(); for (Field field : fields) { if (field.isAnnotationPresent(Sensitive.class)) { Sensitive sensitive = field.getAnnotation(Sensitive.class); field.setAccessible(true); String value = (String) field.get(obj); field.set(obj, maskByType(value, sensitive.type())); } } return obj; } private static String maskByType(String value, SensitiveType type) { if (type == SensitiveType.MOBILE) { return value.substring(0, 3) + "" + value.substring(7); } // 其他类型处理... return value; }}优点：
- 脱敏规则集中管理，业务代码无侵入。
- 支持扩展不同脱敏策略（如银行卡号、邮箱）。缺点：
- 反射操作可能影响性能，需谨慎使用。适用场景：
- Spring Boot REST API项目，需统一处理返回值的脱敏。
三、使用JSON序列化器做脱敏（如Jackson）技术原理：通过自定义Jackson的JsonSerializer，在序列化时自动脱敏敏感字段。实现步骤：
- 创建自定义序列化器，继承JsonSerializer<String>。
- 在serialize方法中判断字段类型，调用脱敏方法。
- 在实体类字段上使用@JsonSerialize注解指定序列化器。示例代码：
// 自定义序列化器public class SensitiveFieldSerializer extends JsonSerializer<String> { @Override public void serialize(String value, JsonGenerator gen, SerializerProvider serializers) throws IOException { if (value != null && isPhoneNumber(value)) { gen.writeString(maskPhone(value)); // 调用字符串替换方法 } else { gen.writeString(value); } } private boolean isPhoneNumber(String s) { return s.matches("d{11}"); }}// 实体类字段标注public class User { @JsonSerialize(using = SensitiveFieldSerializer.class) private String mobile;}优点：
- 脱敏过程透明，对调用者无感知。
- 适合前后端分离架构的数据接口安全处理。缺点：
- 仅支持序列化阶段脱敏，无法处理非JSON场景。适用场景：
- 需要返回JSON数据的API接口，如用户信息查询。
四、数据库层脱敏（结合SQL语句）技术原理：在SQL查询阶段直接对字段进行脱敏，返回已脱敏的数据。实现步骤：
- 使用数据库函数（如SUBSTR、CONCAT）拼接脱敏结果。
- 在查询语句中替换原始字段为脱敏表达式。示例SQL：
-- 手机号脱敏SELECT CONCAT(SUBSTR(mobile, 1, 3), '', SUBSTR(mobile, 8)) AS mobile FROM user;-- 身份证号脱敏（前6位+后4位）SELECT CONCAT(SUBSTR(id_card, 1, 6), '', SUBSTR(id_card, 15)) AS id_card FROM user;优点：
- 减轻应用层负担，减少网络传输量。
- 适合展示性数据，无需后续处理。缺点：
- 灵活性差，不同接口需编写不同SQL。
- 原始数据仍存在于数据库中，需配合其他措施保障安全。适用场景：
- 查询结果仅用于展示，不涉及原始数据处理的场景。
总结与选型建议- 简单场景：优先选择字符串替换，实现快速且性能高。
- 统一管理需求：使用注解+反射或JSON序列化器，适合中大型系统。
- 展示性数据：数据库层脱敏可减少传输开销，但需权衡灵活性。
实际项目中可组合使用多种方案，例如数据库层脱敏基础字段，应用层通过注解补充复杂逻辑，以兼顾性能与灵活性。
