Go net/url.URL.Redacted 怎样隐藏连接信息中的密码

如果 URL 里包含 user:password@host，直接调用 u.String() 再写日志，密码就会原样进入日志、错误消息或诊断事件。Go 的处理方式很明确：解析成功后，在日志出口调用 u.Redacted()。它保留协议、用户名、主机、路径、查询串和片段，只把 u.User 中的密码替换为 xxxxx。

官方文档：https://pkg.go.dev/net/url#URL.Redacted

先判断密码到底位于 URL 的哪一段

net/url 把 user:password@host 视为 URL 的 Userinfo。URL.Redacted() 针对的就是这段 Userinfo：用户名继续保留，密码被替换为固定的 xxxxx。它不是通用的“敏感信息扫描器”，不会替你发现 ?token=...、自定义 Header 或 JSON 请求体中的凭据。

因此排查日志泄露时，先看输出是否来自 URL.String()，再确认敏感字段是不是通过 url.UserPassword 或解析后的 u.User 进入 URL。两类问题要分开处理：Userinfo 用 Redacted，查询参数和其他载荷则需要业务层定义独立的过滤规则。

用 Redacted 生成日志专用副本

下面的示例保留原始 URL 用于后续请求，把 Redacted() 的返回值只用于日志。代码中的 URL 是示例数据，不代表真实连接；关键点是不要把 u.String() 直接交给日志器。

package main

import (
    "fmt"
    "log"
    "net/url"
)

func main() {
    // 原始 URL 只用于后续请求；示例密码不应出现在日志中。
    raw := "https://alice:secret@example.com/api?tenant=ops"
    u, err := url.Parse(raw)
    if err != nil {
        // 解析失败时没有可安全展示的 URL，先保留错误并结束处理。
        log.Fatal(err)
    }

    // Redacted 只创建日志展示字符串，不修改原始 URL 对象。
    fmt.Println("请求地址:", u.String())
    fmt.Println("日志地址:", u.Redacted())
}

这里的边界很重要：Redacted 返回字符串，原始 *url.URL 仍然保留原密码；它不会改变请求对象，也不会把查询参数里的 token 替换掉。实际项目中，第一行“请求地址”不应写入普通业务日志，示例只是对比两种输出的差异。

把脱敏固定在日志和错误出口

单独记住一个 API 容易漏用，更稳妥的方式是封装一个只负责展示 URL 的函数。所有日志、错误包装、重试诊断和审计字段都从这个出口拿字符串；真正发请求的代码仍使用原始对象。

func urlForLog(raw string) (string, error) {
    // 先解析，避免把无法识别的输入误当成已脱敏 URL。
    u, err := url.Parse(raw)
    if err != nil {
        return "", fmt.Errorf("解析 URL 失败: %w", err)
    }

    // 只有这一层接触日志字符串，调用方不再直接使用 URL.String() 记录它。
    return u.Redacted(), nil
}

func logEndpoint(raw string) {
    // 脱敏失败时记录稳定的错误类型，不回退到原始 URL。
    safe, err := urlForLog(raw)
    if err != nil {
        log.Printf("endpoint parse failed: %v", err)
        return
    }
    log.Printf("endpoint=%s", safe)
}

四个容易误判的边界

还要注意 Userinfo 本身的安全边界。官方文档把 UserPassword 标为面向遗留网站的能力，并提醒把认证信息放进 URI 通常存在风险。Redacted 适合降低日志暴露面，不等于推荐在生产系统里用 URL Userinfo 传递认证凭据。

常见问题

Redacted 会把查询参数里的密码一起隐藏吗

不会。它只替换 u.User 中已经设置的密码；?password=...、?token=... 等查询字段仍会原样出现在返回字符串中。

调用 Redacted 后原来的 URL 还能发请求吗

可以。实现会基于 URL 副本替换 Userinfo，再调用副本的 String 逻辑；原始 URL 对象不会因为日志格式化而被改写。

为什么不能在脱敏失败时直接打印 raw

因为 raw 可能正是泄露密码的输入。解析错误、字段异常和日志故障都应走稳定的错误类型或请求标识，不能为了补充上下文而回退输出未经处理的 URL。