Documentation Home
MySQL 8.3 Reference Manual
Related Documentation
MySQL 8.3 Release Notes
Download this Manual
PDF (US Ltr) - 40.8Mb
PDF (A4) - 40.9Mb
Man Pages (TGZ) - 294.0Kb
Man Pages (Zip) - 409.0Kb
Info (Gzip) - 4.0Mb
Info (Zip) - 4.0Mb
Excerpts from this Manual
MySQL Backup and Recovery
MySQL NDB Cluster 8.3
MySQL Globalization
MySQL Information Schema
MySQL Installation Guide
MySQL and Linux/Unix
MySQL and macOS
MySQL Partitioning
MySQL Performance Schema
MySQL Replication
Using the MySQL Yum Repository
MySQL Restrictions and Limitations
Security in MySQL
MySQL and Solaris
Building MySQL from Source
Starting and Stopping MySQL
MySQL Tutorial
MySQL and Windows


MySQL 8.3 Reference Manual  /  ...  /  Using MySQL Enterprise Data Masking and De-Identification Components

8.5.2.2 使用 MySQL 企业数据屏蔽和去标识组件

在使用 MySQL 企业数据屏蔽和去标识之前，请根据第 8.5.2.1 节，「MySQL 企业数据屏蔽和去标识组件安装」中的说明进行安装。

要在应用程序中使用 MySQL 企业数据屏蔽和去标识，请调用适合您要执行的操作的函数。有关详细的函数描述，请参阅第 8.5.2.4 节，「MySQL 企业数据屏蔽和去标识组件函数描述」。本节将展示如何使用这些函数来执行一些代表性任务。它首先概述了可用的函数，然后提供了一些在实际情况下使用这些函数的示例：

屏蔽数据以删除标识特征

MySQL 提供了通用屏蔽组件函数，以屏蔽任意字符串，并提供了特殊用途的屏蔽函数，以屏蔽特定类型的值。

General-Purpose Masking Component Functions

mask_inner() 和 mask_outer() 是通用的函数，基于字符串中的位置来屏蔽任意字符串的部分。两个函数都支持以任何字符集编码的输入字符串：

  • mask_inner() 屏蔽其字符串参数的内部，保留两端不屏蔽。其他参数指定未屏蔽端的大小。

    mysql> SELECT mask_inner('This is a string', 5, 1);
+--------------------------------------+
| mask_inner('This is a string', 5, 1) |
+--------------------------------------+
| This XXXXXXXXXXg                     |
+--------------------------------------+
mysql> SELECT mask_inner('This is a string', 1, 5);
+--------------------------------------+
| mask_inner('This is a string', 1, 5) |
+--------------------------------------+
| TXXXXXXXXXXtring                     |
+--------------------------------------+
mysql> SELECT mask_inner("かすみがうら市", 3, 1);
+----------------------------------+
| mask_inner("かすみがうら市", 3, 1) |
+----------------------------------+
| かすみXXX市                       |
+----------------------------------+
mysql> SELECT mask_inner("かすみがうら市", 1, 3);
+----------------------------------+
| mask_inner("かすみがうら市", 1, 3) |
+----------------------------------+
| かXXXうら市                       |
+----------------------------------+

  • mask_outer() 做相反的事情，屏蔽其字符串参数的两端，保留内部不屏蔽。其他参数指定屏蔽端的大小。

    mysql> SELECT mask_outer('This is a string', 5, 1);
+--------------------------------------+
| mask_outer('This is a string', 5, 1) |
+--------------------------------------+
| XXXXXis a strinX                     |
+--------------------------------------+
mysql> SELECT mask_outer('This is a string', 1, 5);
+--------------------------------------+
| mask_outer('This is a string', 1, 5) |
+--------------------------------------+
| Xhis is a sXXXXX                     |
+--------------------------------------+

默认情况下，mask_inner() 和 mask_outer() 使用 'X' 作为屏蔽字符，但允许一个可选的屏蔽字符参数：

mysql> SELECT mask_inner('This is a string', 5, 1, '*');
+-------------------------------------------+
| mask_inner('This is a string', 5, 1, '*') |
+-------------------------------------------+
| This **********g                          |
+-------------------------------------------+
mysql> SELECT mask_inner("かすみがうら市", 2, 2, "#");
+---------------------------------------+
| mask_inner("かすみがうら市", 2, 2, "#") |
+---------------------------------------+
| かす###ら市                            |
+---------------------------------------+
Special-Purpose Masking Component Functions

其他屏蔽函数期望一个字符串参数，表示特定类型的值，并删除其识别特征。

Note

这里的示例使用随机值生成函数提供函数参数，这些函数返回适合类型的值。有关生成函数的更多信息，请参阅 使用特定特征生成随机数据。

支付卡主账号屏蔽。 屏蔽函数提供严格和松散的主账号屏蔽。

  • mask_pan() 屏蔽号码的所有数字，除了最后四位数字：

    mysql> SELECT mask_pan(gen_rnd_pan());
+-------------------------+
| mask_pan(gen_rnd_pan()) |
+-------------------------+
| XXXXXXXXXXXX2461        |
+-------------------------+

  • mask_pan_relaxed() 类似，但不屏蔽前六位数字，表示支付卡发行者未屏蔽：

    mysql> SELECT mask_pan_relaxed(gen_rnd_pan());
+---------------------------------+
| mask_pan_relaxed(gen_rnd_pan()) |
+---------------------------------+
| 770630XXXXXX0807                |
+---------------------------------+

国际银行账号屏蔽。 mask_iban() 屏蔽号码的所有数字，除了前两个字母（表示国家）：

mysql> SELECT mask_iban(gen_rnd_iban());
+---------------------------+
| mask_iban(gen_rnd_iban()) |
+---------------------------+
| ZZ** **** **** ****       |
+---------------------------+

通用唯一标识符屏蔽。 mask_uuid() 屏蔽所有有意义的字符：

mysql> SELECT mask_uuid(gen_rnd_uuid());
+--------------------------------------+
| mask_uuid(gen_rnd_uuid())            |
+--------------------------------------+
| ********-****-****-****-************ |
+--------------------------------------+

美国社会安全号码屏蔽。 mask_ssn() 屏蔽号码的所有数字，除了最后四位数字：

mysql> SELECT mask_ssn(gen_rnd_ssn());
+-------------------------+
| mask_ssn(gen_rnd_ssn()) |
+-------------------------+
| ***-**-1723             |
+-------------------------+

加拿大社会保险号码屏蔽。 mask_canada_sin() 屏蔽号码的有意义数字：

mysql> SELECT mask_canada_sin(gen_rnd_canada_sin());
+---------------------------------------+
| mask_canada_sin(gen_rnd_canada_sin()) |
+---------------------------------------+
| XXX-XXX-XXX                           |
+---------------------------------------+

英国国家保险号码屏蔽。 mask_uk_nin() 屏蔽号码的所有数字，除了前两个数字：

mysql> SELECT mask_uk_nin(gen_rnd_uk_nin());
+-------------------------------+
| mask_uk_nin(gen_rnd_uk_nin()) |
+-------------------------------+
| ZH*******                     |
+-------------------------------+
生成具有特定特征的随机数据

一些组件函数生成随机值。这些值可以用于测试、模拟等。

gen_range() 返回一个从给定范围中选择的随机整数：

mysql> SELECT gen_range(1, 10);
+------------------+
| gen_range(1, 10) |
+------------------+
|                6 |
+------------------+

gen_rnd_canada_sin() 返回一个从未使用的范围中选择的随机号码：

mysql> SELECT gen_rnd_canada_sin();
+----------------------+
| gen_rnd_canada_sin() |
+----------------------+

(该 gen_rnd_canada_sin() 函数的结果不显示，因为其返回值仅供测试使用，不应发布。无法保证该号码未被分配给合法的加拿大社会保险号码。)

gen_rnd_email() 返回一个随机电子邮件地址，具有指定的名称和姓氏部分在指定的域中，例如 mynet.com：

mysql> SELECT gen_rnd_email(6, 8, 'mynet.com');
+------------------------------+
| gen_rnd_email(6, 8, 'mynet') |
+------------------------------+
| ayxnqu.xmkpvvyr@mynet.com    |
+------------------------------+

gen_rnd_iban() 返回一个从未使用的范围中选择的随机号码：

mysql> SELECT gen_rnd_iban('XO', 24);
+-------------------------------+
| gen_rnd_iban('XO', 24)        |
+-------------------------------+
| XO25 SL7A PGQR B9NN 6IVB RFE8 |
+-------------------------------+

gen_rnd_pan() 返回一个随机的支付卡主账户号码：

mysql> SELECT gen_rnd_pan();

(该 gen_rnd_pan() 函数的结果不显示，因为其返回值仅供测试使用，不应发布。无法保证该号码未被分配给合法的支付账户。)

gen_rnd_ssn() 返回一个随机的美国社会保险号码，前两部分各自从未使用的范围中选择：

mysql> SELECT gen_rnd_ssn();
+---------------+
| gen_rnd_ssn() |
+---------------+
| 912-45-1615   |
+---------------+

gen_rnd_uk_nin() 返回一个从未使用的范围中选择的随机号码：

mysql> SELECT gen_rnd_uk_nin();
+------------------+
| gen_rnd_uk_nin() |
+------------------+

(函数 gen_rnd_uk_nin() 的结果不显示，因为其返回值仅供测试使用，不应发布。不能保证该号码未被分配给合法的 NIN。)

gen_rnd_us_phone() 返回一个随机的美国电话号码，在 555 区域代码中未使用的号码：

mysql> SELECT gen_rnd_us_phone();
+--------------------+
| gen_rnd_us_phone() |
+--------------------+
| 1-555-747-5627     |
+--------------------+

gen_rnd_uuid() 返回一个从未使用的标识符范围中选择的号码：

mysql> SELECT gen_rnd_uuid();
+--------------------------------------+
| gen_rnd_uuid()                       |
+--------------------------------------+
| 68946384-6880-3150-6889-928076732539 |
+--------------------------------------+
使用字典生成随机数据

MySQL Enterprise 数据屏蔽和去标识功能启用了使用字典作为随机值的来源，称为 术语。要使用字典，必须首先将其添加到 masking_dictionaries 系统表中，并给予名称。字典将在组件初始化时从表中读取并加载到缓存中。然后，可以从字典中添加、删除和选择术语，并将其用作随机值或其他值的替换。

Note

始终使用字典管理函数编辑字典，而不是直接修改表格。如果手动修改表格，字典缓存将与表格不一致。

一个有效的 masking_dictionaries 表格具有以下特征：

  • 管理员在 mysql 架构中创建了 masking_dictionaries 系统表，如下所示：

    CREATE TABLE IF NOT EXISTS
masking_dictionaries(
    Dictionary VARCHAR(256) NOT NULL,
    Term VARCHAR(256) NOT NULL,
    UNIQUE INDEX dictionary_term_idx (Dictionary, Term),
    INDEX dictionary_idx (Dictionary)
) ENGINE = InnoDB DEFAULT CHARSET=utf8mb4;

  • 需要 MASKING_DICTIONARY_ADMIN 权限来添加和删除术语，或者删除整个字典。

  • 该表格可能包含多个字典及其术语。

  • 任何用户账户都可以查看字典。只要查询足够多次，字典中的所有术语都是可检索的。避免将敏感数据添加到字典表中。

假设字典名为 DE_cities，其中包含德国的城市名称：

Berlin
Munich
Bremen

使用 masking_dictionary_term_add() 将字典名称和一个术语分配：

mysql> SELECT masking_dictionary_term_add('DE_Cities', 'Berlin');
+----------------------------------------------------+
| masking_dictionary_term_add('DE_Cities', 'Berlin') |
+----------------------------------------------------+
|                                                  1 |
+----------------------------------------------------+
mysql> SELECT masking_dictionary_term_add('DE_Cities', 'Munich');
+----------------------------------------------------+
| masking_dictionary_term_add('DE_Cities', 'Munich') |
+----------------------------------------------------+
|                                                  1 |
+----------------------------------------------------+
mysql> SELECT masking_dictionary_term_add('DE_Cities', 'Bremen');
+----------------------------------------------------+
| masking_dictionary_term_add('DE_Cities', 'Bremen') |
+----------------------------------------------------+
|                                                  1 |
+----------------------------------------------------+

假设字典名为 US_Cities，其中包含美国的城市名称：

Houston
Phoenix
Detroit
mysql> SELECT masking_dictionary_term_add('US_Cities', 'Houston');
+-----------------------------------------------------+
| masking_dictionary_term_add('US_Cities', 'Houston') |
+-----------------------------------------------------+
|                                                   1 |
+-----------------------------------------------------+
mysql> SELECT masking_dictionary_term_add('US_Cities', 'Phoenix');
+-----------------------------------------------------+
| masking_dictionary_term_add('US_Cities', 'Phoenix') |
+-----------------------------------------------------+
|                                                   1 |
+-----------------------------------------------------+
mysql> SELECT masking_dictionary_term_add('US_Cities', 'Detroit');
+-----------------------------------------------------+  
| masking_dictionary_term_add('US_Cities', 'Detroit') |
+-----------------------------------------------------+
|                                                   1 |
+-----------------------------------------------------+

要从字典中选择随机术语，使用 gen_dictionary()：

mysql> SELECT gen_dictionary('DE_Cities');
+-----------------------------+
| gen_dictionary('DE_Cities') |
+-----------------------------+
| Berlin                      |
+-----------------------------+
mysql> SELECT gen_dictionary('US_Cities');
+-----------------------------+
| gen_dictionary('US_Cities') |
+-----------------------------+
| Phoenix                     |
+-----------------------------+

要从多个字典中选择随机术语，首先随机选择一个字典，然后从中选择一个术语：

mysql> SELECT gen_dictionary(ELT(gen_range(1,2), 'DE_Cities', 'US_Cities'));
+---------------------------------------------------------------+
| gen_dictionary(ELT(gen_range(1,2), 'DE_Cities', 'US_Cities')) |
+---------------------------------------------------------------+
| Detroit                                                       |
+---------------------------------------------------------------+
mysql> SELECT gen_dictionary(ELT(gen_range(1,2), 'DE_Cities', 'US_Cities'));
+---------------------------------------------------------------+
| gen_dictionary(ELT(gen_range(1,2), 'DE_Cities', 'US_Cities')) |
+---------------------------------------------------------------+
| Bremen                                                        |
+---------------------------------------------------------------+

该gen_blocklist()函数启用从一个字典中替换一个术语到另一个字典中，从而实现掩码替换。其参数是要替换的术语、术语出现的字典和选择替换的字典。例如，要将美国城市替换为德国城市，或者反之，使用gen_blocklist()如下所示：

mysql> SELECT gen_blocklist('Munich', 'DE_Cities', 'US_Cities');
+---------------------------------------------------+
| gen_blocklist('Munich', 'DE_Cities', 'US_Cities') |
+---------------------------------------------------+
| Houston                                           |
+---------------------------------------------------+
mysql> SELECT gen_blocklist('El Paso', 'US_Cities', 'DE_Cities');
+----------------------------------------------------+
| gen_blocklist('El Paso', 'US_Cities', 'DE_Cities') |
+----------------------------------------------------+
| Bremen                                             |
+----------------------------------------------------+

如果要替换的术语不在第一个字典中，gen_blocklist()将其返回不变：

mysql> SELECT gen_blocklist('Moscow', 'DE_Cities', 'US_Cities');
+---------------------------------------------------+
| gen_blocklist('Moscow', 'DE_Cities', 'US_Cities') |
+---------------------------------------------------+
| Moscow                                            |
+---------------------------------------------------+
使用掩码数据进行客户身份验证

在客户服务呼叫中心，一种常见的身份验证技术是询问客户提供最后四位社会安全号码（SSN）。例如，客户可能说她的名字是 Joanna Bond，她的最后四位 SSN 数字是 0007。

假设一个 customer 表包含客户记录，具有以下列：

  • id：客户 ID 号。

  • first_name：客户名字。

  • last_name：客户姓氏。

  • ssn：客户社会安全号码。

例如，表可能被定义如下：

CREATE TABLE customer
(
  id         BIGINT NOT NULL AUTO_INCREMENT PRIMARY KEY,
  first_name VARCHAR(40),
  last_name  VARCHAR(40),
  ssn        VARCHAR(11)
);

客户服务代表使用的应用程序来检查客户 SSN 可能执行以下查询：

mysql> SELECT id, ssn
mysql> FROM customer
mysql> WHERE first_name = 'Joanna' AND last_name = 'Bond';
+-----+-------------+
| id  | ssn         |
+-----+-------------+
| 786 | 906-39-0007 |
+-----+-------------+

然而，这将 SSN 暴露给客户服务代表，而代表无需看到除了最后四位数字以外的任何内容。相反，应用程序可以使用以下查询来显示掩码 SSN：

mysql> SELECT id, mask_ssn(CONVERT(ssn USING binary)) AS masked_ssn
mysql> FROM customer
mysql> WHERE first_name = 'Joanna' AND last_name = 'Bond';
+-----+-------------+
| id  | masked_ssn  |
+-----+-------------+
| 786 | ***-**-0007 |
+-----+-------------+

现在，代表只能看到必要的信息，客户隐私得到保护。

为什么使用 CONVERT() 函数作为 mask_ssn() 的参数？因为 mask_ssn() 需要一个长度为 11 的参数。因此，即使 ssn 被定义为 VARCHAR(11)，如果 ssn 列具有多字节字符集，它可能在传递给可加载函数时出现比 11 字节长，并返回 NULL 同时记录错误。将值转换为二进制字符串确保函数看到一个长度为 11 的参数。

可能需要为其他数据屏蔽函数使用类似的技术，当字符串参数不具有单字节字符集时。

创建显示屏蔽数据的视图

如果从表中使用的屏蔽数据用于多个查询，那么定义一个产生屏蔽数据的视图可能很方便。这样，应用程序可以从视图中选择，而不需要在个体查询中执行屏蔽。

例如，前一节中的 customer 表的屏蔽视图可以定义如下：

CREATE VIEW masked_customer AS
SELECT id, first_name, last_name,
mask_ssn(CONVERT(ssn USING binary)) AS masked_ssn
FROM customer;

然后，查找客户的查询变得更简单，但仍然返回屏蔽数据：

mysql> SELECT id, masked_ssn
mysql> FROM masked_customer
mysql> WHERE first_name = 'Joanna' AND last_name = 'Bond';
+-----+-------------+
| id  | masked_ssn  |
+-----+-------------+
| 786 | ***-**-0007 |
+-----+-------------+

PREV   HOME   UP   NEXT
Related Documentation
MySQL 8.3 Release Notes
Download this Manual
PDF (US Ltr) - 40.8Mb
PDF (A4) - 40.9Mb
Man Pages (TGZ) - 294.0Kb
Man Pages (Zip) - 409.0Kb
Info (Gzip) - 4.0Mb
Info (Zip) - 4.0Mb
Excerpts from this Manual
MySQL Backup and Recovery
MySQL NDB Cluster 8.3
MySQL Globalization
MySQL Information Schema
MySQL Installation Guide
MySQL and Linux/Unix
MySQL and macOS
MySQL Partitioning
MySQL Performance Schema
MySQL Replication
Using the MySQL Yum Repository
MySQL Restrictions and Limitations
Security in MySQL
MySQL and Solaris
Building MySQL from Source
Starting and Stopping MySQL
MySQL Tutorial
MySQL and Windows