如何为SQL Server动态数据屏蔽（Dynamic Data Masking）创建自定义掩码函数

关于SQL Server动态数据屏蔽自定义规则的解答 #

核心限制说明

SQL Server 内置的动态数据屏蔽（Dynamic Data Masking）功能不支持函数嵌套调用，也不允许用户创建自定义MASK规则，4种内置函数仅能单独声明使用，你尝试的将random()嵌套进partial()的写法不符合DDM的语法要求，无法直接实现。

可行替代方案

这里提供两种生产环境常用的实现方式，均可满足「保留手机号前3位、最后3位，中间3位随机替换」的需求：

方案1：计算列+权限控制组合实现

在原有表上新增掩码计算列，通过权限隔离让普通用户仅能查看计算列，无法访问原始手机号字段：

-- 先清理旧配置（如果有）
ALTER TABLE [Person].[PersonPhone] DROP COLUMN IF EXISTS MaskedPhoneNumber;
GO

-- 新增带随机掩码逻辑的计算列
ALTER TABLE [Person].[PersonPhone]
ADD MaskedPhoneNumber AS 
    CONCAT(
        LEFT(PhoneNumber, 3),
        '-',
        -- 生成100-999的随机3位数字
        RIGHT(CONCAT('000', CAST(ABS(CHECKSUM(NEWID())) % 900 + 100 AS VARCHAR(3))), 3),
        '-',
        RIGHT(PhoneNumber, 3)
    );
GO

-- 权限配置：禁止普通角色访问原始手机号列，仅开放掩码列权限
DENY SELECT ON [Person].[PersonPhone](PhoneNumber) TO [普通业务角色];
GRANT SELECT ON [Person].[PersonPhone](MaskedPhoneNumber) TO [普通业务角色];

方案2：自定义视图实现掩码逻辑（灵活度更高）

如果需要大量自定义掩码规则，推荐直接通过视图层实现，不需要依赖内置DDM功能，可适配任意复杂的屏蔽需求：

CREATE OR ALTER VIEW vw_PersonPhone AS
SELECT
    BusinessEntityID,
    PhoneNumberTypeID,
    ModifiedDate,
    -- 高权限角色返回原始值，普通角色返回掩码值
    CASE
        WHEN IS_MEMBER('高权限管理角色') = 1 THEN PhoneNumber
        ELSE CONCAT(
            LEFT(PhoneNumber, 3),
            '-',
            RIGHT(CONCAT('000', CAST(ABS(CHECKSUM(NEWID())) % 900 + 100 AS VARCHAR(3))), 3),
            '-',
            RIGHT(PhoneNumber, 3)
        )
    END AS PhoneNumber
FROM [Person].[PersonPhone];
GO

-- 权限配置：禁止访问原始表，仅开放视图查询权限
DENY SELECT ON [Person].[PersonPhone] TO [普通业务角色];
GRANT SELECT ON vw_PersonPhone TO [普通业务角色];

内容的提问来源于stack exchange，提问作者Francesco Mantovani