当前位置：首页 > 文章列表 > Golang > Go问答 > Go 结构化日志 ReplaceAttr 如何做字段脱敏

Go 结构化日志 ReplaceAttr 如何做字段脱敏

来源：17golang原创 2026-10-31 21:10:07 0浏览收藏

Go 的 log/slog 已经把结构化日志放进标准库，但“结构化”不等于“自动安全”。登录日志里常见的邮箱、访问令牌、密码或身份证号，只要被作为属性传给 Logger，就可能进入 TextHandler 或 JSONHandler。一个实用的收口点是 slog.HandlerOptions.ReplaceAttr：在属性写入前，按属性键和当前分组路径决定保留、遮盖，或直接删除。

把 ReplaceAttr 挂到实际使用的 Handler 上，并优先采用“敏感字段白名单/明确删除 + 需要保留结构的字段遮盖”的规则。返回零值 slog.Attr{} 会丢弃该属性，返回带新值的 Attr 才是遮盖。

为什么日志里仍会出现明文敏感字段

这类问题通常不是 JSONHandler 失效，而是日志字段已经在调用点被明确加入。排查时可以按三个节点回放：业务代码把值放入 slog.String 或 slog.Any；Logger 把属性交给 Handler；Handler 再把属性编码为文本或 JSON。默认处理器不会替业务代码判断“这个字符串是否敏感”，所以脱敏必须成为 Handler 的统一策略。

真正容易漏掉的是嵌套组。例如 user.email 和 request.email 可能需要不同策略。ReplaceAttr 的第一个参数 groups 是当前打开的分组路径，不能只判断 a.Key == "email" 就把所有同名字段一刀切。

Logger、JSONHandler、HandlerOptions、ReplaceAttr、groups 分组路径和 Attr 的静态结构关系说明图 — 图1：静态结构说明图，查看 ReplaceAttr 如何接收属性键与当前分组路径。

ReplaceAttr 的脱敏逻辑要看字段键和分组路径

下面的规则只做两件事：对令牌和用户邮箱保留字段名但替换值；对密码直接返回零值属性。它没有运行外部服务，也不依赖日志文本二次解析，因此规则和 Handler 的边界比较清楚。

package main

import (
    "log/slog"
    "os"
)

// redactAttr 根据分组路径和字段键决定遮盖或删除，避免把规则散落在业务调用点。
func redactAttr(groups []string, a slog.Attr) slog.Attr {
    // 密码不需要保留结构，返回零值 Attr 会让 Handler 丢弃它。
    if a.Key == "password" {
        return slog.Attr{}
    }

    // token 无论位于哪个组都只输出固定占位符，不回显原始值。
    if a.Key == "token" {
        return slog.String(a.Key, "[REDACTED]")
    }

    // 只处理 user 组中的 email，避免误伤其它业务上下文中的同名字段。
    if a.Key == "email" && len(groups) > 0 && groups[len(groups)-1] == "user" {
        return slog.String(a.Key, "[REDACTED]")
    }

    // 其它属性原样返回，保持正常日志字段可检索。
    return a
}

func main() {
    // ReplaceAttr 绑定在实际输出 Handler 上，JSONHandler 会使用这套规则。
    handler := slog.NewJSONHandler(os.Stdout, &slog.HandlerOptions{
        ReplaceAttr: redactAttr,
    })
    logger := slog.New(handler)

    // user 组中的 email 和 token 会被遮盖，password 会被删除。
    logger.Info("login",
        slog.Group("user",
            slog.String("email", "alice@example.com"),
            slog.String("token", "access-token-value"),
        ),
        slog.String("password", "plain-text-password"),
        slog.String("result", "ok"),
    )
}

这里的关键不是把敏感词写进一个更复杂的正则，而是保留字段上下文：groups 只读不改，a.Value 已经是可处理的属性值；返回新的字符串 Attr 表示遮盖，返回零值 Attr 表示删除。官方文档也说明 ReplaceAttr 不会针对 Group 属性本身调用，而是针对组内属性调用。