Go slog 如何用 LogValuer 脱敏请求凭据：WithAttrs 与 Resolve 的边界

线上接口开始接入结构化日志后，最容易漏掉的不是普通字段，而是藏在请求对象里的密码、Bearer 令牌和临时签名。Go 的 log/slog 可以让类型实现 LogValuer，把“这个对象应该怎样出现在日志里”交给对象本身决定；但 Logger.With、Handler.WithAttrs 与 Value.Resolve 分别处在不同层次，混用它们就会误以为属性已经被脱敏。

最稳妥的边界是：让凭据类型通过 LogValue 只返回允许公开的字段，再让 Handler 在写出前解析 Value；WithAttrs 负责保存公共属性，并不会替你设计脱敏规则。

日志里突然出现令牌，问题通常藏在对象边界

假设接口日志统一记录一个 RequestCredential，调用处为了方便直接写成 slog.Any("credential", credential)。如果这个类型没有明确的日志表示，Handler 可能继续遍历它的字段，最终把 Secret 一起交给输出器。

排查时先别急着给每个调用点加字符串替换。调用点越多，越容易漏掉 Logger.With、错误日志和中间件分支。把公开字段和敏感字段的边界收回到凭据类型，后面的 Handler 才有一致的输入。

先把 RequestCredential 的公开面固定下来

下面的类型只把 Issuer 和 Subject 放入日志组，Secret 完全不创建为日志属性。这里使用的是标准库约定的 LogValuer 方法名，方法返回的 slog.Value 可以由 slog.GroupValue 构造：

type RequestCredential struct {
    Issuer  string
    Subject string
    Secret  string
}

func (c RequestCredential) LogValue() slog.Value {
    return slog.GroupValue(
        slog.String("issuer", c.Issuer),
        slog.String("subject", c.Subject),
    )
}

这个实现有一个实际好处：调用方即使保留了完整的 Secret，日志层看到的仍是 LogValue 返回结果。需要注意的是，脱敏并不意味着可以把整个对象继续传给其他序列化器；这里只约束 slog 的日志表示。

为什么 WithAttrs 不能替代 LogValuer

Logger.With 适合放请求 ID、租户和固定组件名。Handler 收到这些属性时，会通过 WithAttrs 预处理它们，具体 Handler 可以缓存格式化结果，减少重复工作：

logger := slog.New(handler).With(
    slog.String("request_id", requestID),
    slog.Any("credential", credential),
)
logger.Info("request accepted")

这里的关键不是“属性进入了 WithAttrs”，而是 credential 的值仍然要经过日志值解析。一个自定义 Handler 如果只把属性存进切片，写出时又没有解析 LogValuer，就可能绕过预期的公开面。

自定义 Handler 时要在写出前调用 Resolve

标准 Handler 会处理 LogValuer，自定义 Handler 则必须明确自己的职责。不要直接写 v.LogValuer().LogValue()：标准库文档建议使用 Value.Resolve，因为一个 LogValue 还可能返回另一个实现了 LogValuer 的值，解析器也会防止无限递归。

func writeAttr(a slog.Attr) {
    value := a.Value.Resolve()
    if value.Kind() == slog.KindGroup {
        // 只遍历已经解析出的公开组字段。
        value.Group()
    }
}

实际 Handler 还要处理组名、空组、重复键和错误值；示例只展示脱敏边界。为了确认规则没有被后续改动破坏，检查最终 JSON 中是否出现 Secret 的真实内容，比检查 Handler 内部切片更可靠。

用一张小清单复查日志安全边界

常见问题：LogValuer 和 WithAttrs 怎么选

LogValuer 会修改原来的 RequestCredential 吗？

不会。它只定义该值在 slog 中的表现，原对象和其中的 Secret 仍然存在，其他序列化路径仍需单独保护。

把凭据放到 Logger.With 里安全吗？

只有当凭据类型的 LogValue 和 Handler 的解析路径都经过审查时才安全。With 只是把属性绑定到 Logger，并不自动做字段过滤。

为什么推荐 Value.Resolve 而不是直接调用 LogValue？

Resolve 会继续处理嵌套的 LogValuer，并沿用标准库对递归和特殊值的保护；自定义 Handler 更不容易与 slog 的语义分叉。

应该如何验证没有泄露 Secret？

使用包含哨兵字符串的 RequestCredential 写出一条 JSON 日志，断言最终输出不含该字符串，同时确认 issuer 和 subject 仍然可检索。

把脱敏规则留在类型边界

LogValuer 解决“一个值允许公开什么”，WithAttrs 解决“公共属性如何复用”，Value.Resolve 解决“Handler 如何得到最终值”。三者分工清楚后，调用点只负责记录事件，安全检查则可以集中在类型实现、Handler 和最终 JSON 三处。