日志脱敏应在中间件层统一处理，而非业务逻辑层手动操作；推荐用结构体标签+反射方式，在zap.object的marshallogobject中按redact:"true"标记脱敏字段，避免递归处理或命名猜测。
日志脱敏该在哪个环节做：中间件层还是业务逻辑层
脱敏必须在日志写入前完成，不能依赖日志采集侧（如 Fluentd、Loki）后处理——那些组件看不到原始结构化字段，也缺乏上下文判断敏感性。Golang 里最稳妥的位置是日志中间件或封装后的 log.Logger 实例，而不是在每个 fmt.Printf 或 zap.Info() 调用前手动擦除字段。
- 业务层手动脱敏容易遗漏，比如新增一个
user.Token字段但忘记加redact标签 - 中间件层统一处理能覆盖 HTTP 请求体、gRPC 入参、数据库慢查询日志等多来源数据
- 注意不要在中间件里对整个
map[string]interface{}做递归脱敏——性能差且可能误伤非敏感字段（如"status": "success"） - 推荐用结构体标签 + 反射方式，例如给字段加
json:"token" redact:"true"，再配合 zap 的zap.Object封装器过滤
zap 里怎么安全地脱敏结构体字段
zap 本身不内置脱敏逻辑，得靠自定义 Encoder 或预处理字段。直接用 zap.String("token", redact(token)) 是反模式——业务代码要感知脱敏逻辑，耦合度高。
- 用
zap.Object配合实现了LogObjectMarshaler接口的结构体，在MarshalLogObject方法里控制哪些字段暴露、哪些替换成"[REDACTED]" - 避免在
MarshalLogObject里做耗时操作（如正则匹配、HTTP 调用），否则会拖慢所有日志路径 - 敏感字段名别只依赖命名（如含
"pwd"就脱敏），容易漏判（"password_hash"）或误判（"pwd_reset_token"）；优先走显式标记（结构体 tag） - 示例：
type User struct { ID int `json:"id"` Email string `json:"email" redact:"true"` Token string `json:"token" redact:"true"` }然后在MarshalLogObject中检查 tag 并替换
JSON 日志格式里时间戳和 level 字段怎么对齐云平台要求
阿里云 SLS、腾讯云 CLS、AWS CloudWatch 都要求 timestamp 是 ISO8601 毫秒级字符串（如 "2024-05-22T14:23:18.123Z"），不是 Unix 时间戳数字，也不是默认的 zap 内置格式（带微秒、无 Z 后缀）。
- 别用
zap.NewDevelopmentEncoderConfig()，它输出的是可读格式，不兼容机器解析 - 用
zap.NewProductionEncoderConfig()，再手动覆盖TimeKey和EncodeTime： cfg.EncodeTime = func(t time.Time, enc zapcore.PrimitiveArrayEncoder) { enc.AppendString(t.UTC().Format("2006-01-02T15:04:05.000Z")) }-
level字段必须小写（"info"不是"INFO"），否则部分平台无法识别级别做着色或告警 - 字段名别用下划线（如
log_level），云平台标准是level、timestamp、message、caller
脱敏后日志体积暴增或丢失关键上下文怎么办
常见问题是把整段请求 Body 当字符串塞进日志，一脱敏就变成一堆 "[REDACTED]"，看不出哪次调用失败了；或者为“保险起见”把所有 map 值全替换成占位符，结果排查时发现连 trace_id 都没了。
立即学习“go语言免费学习笔记（深入）”；
- 只脱敏明确已知的敏感键（
"password","authorization","id_token"），不碰通用键（"trace_id","request_id","path"） - HTTP body 脱敏前先尝试 JSON 解析，只替换内部字段，保留外层结构（避免把
{"code":400,"message":"invalid token"}变成{"code":400,"message":"[REDACTED]"}） - 对长文本（如 SQL、stack trace）做局部脱敏，比如用正则替换
Bearer [^ ]+，而不是整字段清空 - 留一个开关（如环境变量
LOG_REDACT=off）供本地调试，但上线必须默认开启——这个开关本身不能出现在日志里
真正难的不是写脱敏逻辑，而是维护一份准确的敏感字段清单，并随着接口变更持续同步。没人会记得给新写的 RefreshTokenRequest.RefreshToken 加上 redact:"true" 标签，除非 CI 流水线里跑静态检查。
