前端脱敏还是后端网关拦截？聊聊全栈数据脱敏的职责划分与防绕过取舍

最近在做合规改造，重新理了一遍系统里的数据脱敏链路，发现之前留下的历史债不少。

我个人的原则比较直接：前端没有真正的“脱敏”，只有“掩码展示”。只要明文数据出了后端接口，在 DevTools 里就是透明的，谈防绕过意义不大。真正的安全边界只能卡在服务端。

但后端统一脱敏落地时，取舍往往比技术实现更麻烦：

1. 如果直接在网关或 BFF 统一拦截替换，规则简单粗暴，可一旦业务需要“编辑页面回显”或者“部分高权限角色查看明文（点小眼睛）”，网关很难精准识别上下文。
2. 如果下沉到业务层或 ORM 插件，开发心智负担又会成倍增加，漏掉一个接口就是一次合规事故。

我们目前的折中做法是：数据在离开 BFF 前默认全部脱敏；需要查看明文的场景，走独立的鉴权接口并强制记审计日志；前端组件只负责拿到掩码做渲染，不做任何明文转换。

大家在实际业务里，这个职责边界一般切在什么位置？面对那种“既要在表格里脱敏，又要支持点开编辑原值”的表单，你们是怎么防范绕过和泄露的？