如何在Synapse无服务器SQL池中实现数据屏蔽（当前仅支持专用池）

Synapse无服务器SQL池确实没有原生的动态数据屏蔽（Dynamic Data Masking）支持，但可以通过以下几种替代方案实现类似的敏感数据屏蔽效果：

1. 创建带屏蔽逻辑的视图 #

最直接的方式是创建视图，在视图中对敏感字段直接应用屏蔽规则，用户通过查询视图获取数据，而非直接访问底层数据源。

示例：针对Parquet格式的客户数据，屏蔽手机号和邮箱字段

CREATE VIEW vw_MaskedCustomerData
AS
SELECT
    CustomerID,
    FirstName,
    -- 手机号屏蔽：保留前3位和后4位，中间替换为***
    CONCAT(LEFT(PhoneNumber, 3), '***', RIGHT(PhoneNumber, 4)) AS MaskedPhone,
    -- 邮箱屏蔽：保留首字母和域名部分，中间替换为***
    CONCAT(LEFT(Email, 1), '***@', SUBSTRING(Email, CHARINDEX('@', Email) + 1, LEN(Email))) AS MaskedEmail,
    BillingAddress
FROM
    OPENROWSET(
        BULK 'https://your-storage-account.dfs.core.windows.net/datalake/customers/*.parquet',
        FORMAT = 'PARQUET'
    ) AS RawCustomerData

用户只需查询vw_MaskedCustomerData即可获取屏蔽后的数据，无需关注底层屏蔽逻辑。

2. 用自定义函数封装屏蔽逻辑 #

如果需要在多个查询或视图中复用相同的屏蔽规则，可以封装成自定义标量函数，提高代码复用性。

示例：创建手机号屏蔽函数并在视图中使用

-- 创建屏蔽函数
CREATE FUNCTION dbo.MaskPhone(@Phone VARCHAR(20))
RETURNS VARCHAR(20)
AS
BEGIN
    IF @Phone IS NULL RETURN NULL;
    -- 处理不同长度的手机号，确保屏蔽逻辑兼容
    RETURN CASE 
        WHEN LEN(@Phone) >= 7 THEN CONCAT(LEFT(@Phone, 3), '***', RIGHT(@Phone, 4))
        ELSE '****'
    END;
END;

-- 使用函数的视图
CREATE VIEW vw_MaskedCustomerData
AS
SELECT
    CustomerID,
    FirstName,
    dbo.MaskPhone(PhoneNumber) AS MaskedPhone,
    BillingAddress
FROM
    OPENROWSET(...) AS RawCustomerData

3. 结合行级安全（RLS）实现动态屏蔽 #

如果需要根据用户角色动态决定是否显示原始数据或屏蔽后的数据，可以结合行级安全函数实现权限控制+数据屏蔽的双重效果。

示例：仅管理员可见原始手机号，普通用户看到屏蔽后的数据

-- 创建判断用户角色的函数
CREATE FUNCTION dbo.HasAdminAccess()
RETURNS BIT
AS
BEGIN
    -- 检查当前用户是否属于db_owner角色，可根据实际角色调整
    RETURN CASE WHEN IS_MEMBER('db_owner') = 1 THEN 1 ELSE 0 END;
END;

-- 创建带动态屏蔽的视图
CREATE VIEW vw_DynamicMaskedCustomerData
AS
SELECT
    CustomerID,
    FirstName,
    CASE
        WHEN dbo.HasAdminAccess() = 1 THEN PhoneNumber
        ELSE CONCAT(LEFT(PhoneNumber, 3), '***', RIGHT(PhoneNumber, 4))
    END AS PhoneNumber,
    BillingAddress
FROM
    OPENROWSET(...) AS RawCustomerData

注意事项 #

• 无服务器SQL池仅支持创建视图、函数等对象，无法直接修改底层数据源，所有屏蔽逻辑都是在查询时动态计算的。
• 对于超大规模数据集，自定义函数可能带来性能开销，优先使用内置字符串函数（如LEFT/RIGHT/CONCAT）直接在视图中实现屏蔽逻辑。
• 确保用户仅拥有视图的查询权限，禁止直接访问底层的外部表或OPENROWSET数据源。

内容的提问来源于stack exchange，提问作者Mohammad Mahfooz Alam