Go slog.LogValuer 如何延迟构造日志字段：敏感数据脱敏与重复求值边界

如果日志里既要记录请求标识，又不能把密码、令牌或完整身份证号写出去，slog.LogValuer 是一个很合适的边界：把字段如何展开、哪些值需要脱敏放进 LogValue，而不是在每个调用点临时拼字符串。它还会把昂贵字段推迟到处理器真正需要这条日志时再求值，但“推迟”不等于“只求值一次”，并发复用和多次输出都要按可重复调用来设计。

把脱敏规则放在类型的 LogValue 中，把日志级别过滤交给 slog；不要在 LogValue 里修改共享状态，也不要把一次调用的缓存假设成永久缓存。

线上日志为什么会突然暴露完整字段

常见问题不是 slog 自动泄密，而是调用方把结构体当作 any 直接交给日志器，默认格式化路径会看到更多字段。另一个问题是每个调用点各写一遍“删掉 password、保留 user_id”，几周后总会漏一处。

可以让领域类型自己决定日志形态：

type Secret struct {
    UserID   string
    Password string
}

func (s Secret) LogValue() slog.Value {
    return slog.GroupValue(
        slog.String("user_id", s.UserID),
        slog.String("password", "[REDACTED]"),
    )
}

这里 Secret 只公开 user_id 和固定的遮罩文本，Password 不会因为换了 JSON、文本或自定义 Handler 就重新出现在输出中。

为什么有些日志字段根本没有求值

把昂贵字段包装成 Request，在 LogValue 里才构造真正的属性。slog 先判断记录是否会被当前处理器处理，未启用的级别可以跳过这段工作。

type Request struct {
    ID    string
    Trace func() string
}

func (r Request) LogValue() slog.Value {
    return slog.GroupValue(
        slog.String("request_id", r.ID),
        slog.String("trace_id", r.Trace()),
    )
}

logger.Debug("request detail", "request", Request{ID: "req-17", Trace: loadTrace})

图中只保留调用链，不把代码排版塞进图片：Request 进入日志调用后，才到 LogValue，最后由 slog.String 形成字段。若处理器过滤掉 Debug，Trace 通常不会执行；但同一记录被多个处理阶段解析时，不能把这个行为当作严格的一次性承诺。

脱敏字段应该在 LogValue 里完成

脱敏要靠类型边界，而不是靠调用者记忆。下面的 Secret 把原始密码留在对象内部，只在 LogValue 中输出安全字段；使用 slog.Group 能保持字段层次，后续换 JSON Handler 时也更容易检索。

func (s Secret) LogValue() slog.Value {
    return slog.GroupValue(
        slog.String("user_id", s.UserID),
        slog.String("password", "[REDACTED]"),
    )
}

slog.Info("login checked", "secret", Secret{UserID: "u-42", Password: "p@ss"})

这里的实际路径是 Secret 进入 LogValue，再由 slog.String 生成脱敏值并由 slog.Group 组织输出。不要在 LogValue 中改写 s.Password，否则一次日志调用可能污染后续业务逻辑。

三条边界决定这段实现能不能上线

如果 LogValue 需要访问外部系统、等待网络或改变全局状态，设计已经越过日志格式化的职责边界。把需要的数据在业务层准备好，或把昂贵工作限制在确实会写出的级别内，排障会简单很多。

如何验证没有重复求值和敏感信息泄漏

测试时不要只比较一行文本。可以给 Trace 使用一个计数器，分别记录 Debug 被过滤和 Info 被写出的情况；同时对最终输出做硬断言，确保原始密码不出现。

var calls atomic.Int32
request := Request{
    ID: "req-17",
    Trace: func() string {
        calls.Add(1)
        return "trace-9"
    },
}
logger.Info("request detail", "request", request)
if strings.Contains(output.String(), "p@ss") {
    t.Fatal("raw password leaked")
}

验证结果应关注两件事：输出只有 [REDACTED] 而没有原始密码；calls 的次数只用于观察当前 Handler 链路，不应被写死成跨实现的契约。若同一类型在不同 Handler 下表现不同，优先保证无副作用和脱敏一致。

相关问题

LogValue 返回 nil 可以吗？

应返回有效的 slog.Value。没有字段时可返回空的 slog.GroupValue()，不要把未初始化的业务对象直接交给默认格式化。

LogValuer 能替代日志中间件脱敏吗？

不能完全替代。它适合保护已实现该接口的领域类型，中间件仍要处理字符串拼接、第三方类型和请求头等其他入口。

为什么不直接调用 LogValue？

处理器应通过 slog.Value.Resolve 等标准路径解析，因为返回值还可能嵌套另一个 LogValuer，直接调用会绕过统一的递归保护。

复盘清单

• 自定义类型是否在 LogValue 中完成脱敏。
• 方法是否无副作用、可重复调用，并且不依赖一次性缓存。
• 是否用实际 Handler 测过级别过滤、输出字段和原始敏感值缺失。