Golang错误日志脱敏实战_防止敏感信息泄露到日志系统

应优先使用结构化日志器（如zap或slog）显式脱敏敏感字段，避免字符串拼接和全局正则替换；对http请求、Error等需递归遍历并清洗嵌套敏感值，确保覆盖header、body、stack trace及error链中所有潜在泄露点。

go日志里出现 password、Token、auth_token 怎么办

直接过滤字段比事后脱敏更可靠。Go 标准库 log 本身不支持字段级处理，得在写入前做拦截——要么改日志结构（比如用 zap 或 slog），要么自己 wrap io.Writer 做正则替换。

常见错误是只替换日志字符串里的 "password=123"，但漏掉 json body、URL query、stack trace 里的嵌套值；更糟的是用 Strings.ReplaceAll 粗暴替换所有 "token"，结果把 "hostname" 也干掉了。

• 优先用结构化日志器（如 zap），配合 zap.String("password", "***") 显式传脱敏值，而不是拼接字符串
• 若必须用 log.printf，在调用前对参数做预处理：检查每个 Interface{} 是否为 map/slice/Struct，递归遍历 key 名是否含 "pass"、"token"、"key"、"secret"
• 避免正则全局替换，改用 json.Unmarshal + 递归遍历 map[string]interface{}，只对匹配 key 的 value 赋值为 "***"

用 slog（Go 1.21+）做字段级脱敏的正确姿势

slog 默认不自动脱敏，但它支持 slog.Handler 接口，可以拦截每条 log record，在 Handle 方法里修改 Attrs。这是目前最轻量、最可控的方式。

容易踩的坑是以为给 slog.With 传了 slog.String("api_key", "***") 就安全了——其实原始敏感值可能还在 error 的 Unwrap() 链里，或藏在 fmt.Sprintf 拼出的 message 字符串中。

立即学习“go语言免费学习笔记（深入）”；

• 自定义 Handler 时，必须同时处理 record.Attrs 和 record.Message；后者需用 json.Unmarshal 尝试解析，再递归清理
• 不要在 Handle 里直接修改 record.Attrs 原 slice，要 append 新 slice，否则并发写会 panic
• 敏感 key 判定别只看全等，用 strings.Contains(strings.ToLower(key), "token")，覆盖 "X-Auth-Token"、"access_token" 等变体

HTTP handler 中的请求体和 header 自动脱敏实践

Web 服务日志最容易泄露的是 Authorization header、POST /login 的 JSON body、cookie 字段。不能靠中间件统一打日志后处理，得在读取 request 的第一时间做剥离。

典型错误是用 r.Header.Get("Authorization") 打日志，却忘了 r.Header 是 map，底层仍存原始值；或者用 ioutil.ReadAll(r.Body) 后没重置 r.Body，导致后续 handler 读不到 body。

• 写中间件时，用 httputil.DumpRequest 前先 clone r.Header 并删掉 "Authorization"、"Cookie"、"X-Api-Key"
• 读取 r.Body 前，先用 io.TeeReader 把 bytes 写进 buffer，同时用 json.Decoder 解析并脱敏敏感字段，再用 bytes.NewReader 重建 r.Body
• 别碰 r.FormValue，它会隐式调用 ParseForm，可能触发 multipart 解析并泄露文件名等元信息；改用 r.PostForm 并手动遍历 key

error 类型里藏着的敏感信息怎么挖出来

Go 的 error 往往是封装过的，比如 fmt.Errorf("failed to call %s: %w", url, err)，里面的 err 可能来自 HTTP client，带完整的响应 body（含 token）。直接 log.Println(err) 等于裸奔。

很多人以为用 errors.Unwrap 一层层拆就能清干净，但有些 error 实现了 Unwrap 却没暴露全部字段，比如数据库驱动返回的 *pq.Error 有 Detail 字段，不会被 Unwrap 带出来。

• 对任意 error，先检查是否实现了自定义方法（如 pgerr.Detail()、awserr.Error().Code()），再 fallback 到 fmt.Sprintf("%+v", err)
• 用 fmt.Sprintf("%+v", err) 时，配合 strings.ReplaceAll 清洗已知模式，例如 Bearer [a-zA-Z0-9._-]+、api_key=[a-zA-Z0-9]+
• 禁止在 error message 里拼接用户输入：fmt.Errorf("invalid email %s", email) —— 改成 fmt.Errorf("invalid email (redacted)")

真正难的不是写脱敏逻辑，而是确认所有 error 来源、所有日志出口、所有第三方库的内部字段是否都覆盖到了。哪怕只漏一个 github.com/xxx/client.ErrResponse 的 RawBody 字段，就可能把整个密钥轮换周期废掉。