Go slog 如何脱敏嵌套日志：ReplaceAttr、组字段与单元测试

订单服务把请求参数改成结构化日志后，排查问题确实快了，但一条 slog.Info 也可能顺手把 password、token 和手机号写进采集系统。更麻烦的是，敏感字段不一定在最外层，slog.Group("customer", ...) 里的嵌套属性同样需要处理。下面实现一个小型 Go 日志模块：保留业务字段，隐藏敏感值，并用内存缓冲区确认最终 JSON 里没有泄漏。

先做一个能运行的日志小模块

示例服务只做一件事：记录一笔订单创建事件。项目结构可以保持得很小：

go mod init example.com/slog-redact
touch logger.go logger_test.go

日志调用方不需要知道哪些字段敏感，只负责提供结构化数据。这个边界很重要：业务代码写得越多，越不应该依赖每个开发者都记住脱敏规则。

ReplaceAttr 怎样处理嵌套组字段

ReplaceAttr 会在 Handler 写出属性前收到它。回调参数里的 groups 保存当前属性经过的组名，所以 customer.token 和顶层 token 都能走同一套判断。

package slogredact

import (
    "log/slog"
    "os"
    "strings"
)

func redactAttr(groups []string, a slog.Attr) slog.Attr {
    key := strings.ToLower(a.Key)
    switch key {
    case "password", "token", "authorization":
        return slog.String(a.Key, "[hidden]")
    case "phone", "mobile":
        return slog.String(a.Key, maskPhone(a.Value.String()))
    }

    // groups 可用于处理同名字段的特殊规则。
    if len(groups) > 0 && groups[len(groups)-1] == "payment" && key == "card_no" {
        return slog.String(a.Key, "[card-hidden]")
    }
    return a
}

func maskPhone(v string) string {
    if len(v) 

上面的完整模块还需要补上 os 导入；为了让测试更容易控制输出，实际项目中我更建议把输出目标作为参数传入，而不是在构造函数里固定标准输出。

把输出目标注入，测试才不会依赖终端

将构造函数改成接收 io.Writer，生产环境传文件或标准输出，测试环境传 bytes.Buffer。这样验收的是 Handler 产生的真实 JSON，而不是只测一个脱敏函数。

package slogredact

import (
    "io"
    "log/slog"
    "os"
)

func NewLogger(w io.Writer) *slog.Logger {
    if w == nil {
        w = os.Stdout
    }
    opts := &slog.HandlerOptions{ReplaceAttr: redactAttr}
    return slog.New(slog.NewJSONHandler(w, opts))
}

调用处只保留业务语义：

logger := NewLogger(os.Stdout)
logger.Info("order.created",
    slog.String("order_id", "O20260721001"),
    slog.Group("customer",
        slog.String("phone", "13800138000"),
        slog.String("token", "bearer-abc-123"),
    ),
    slog.Group("payment",
        slog.String("card_no", "6222021234567890"),
    ),
)

用 bytes.Buffer 核对最终日志

测试不要只断言回调返回了 [hidden]。真正容易出错的是组字段、属性名大小写和 Handler 输出格式，因此直接检查编码后的内容更接近线上结果。

package slogredact

import (
    "bytes"
    "strings"
    "testing"
    "log/slog"
)

func TestLoggerRedactsNestedValues(t *testing.T) {
    var buf bytes.Buffer
    logger := NewLogger(&buf)
    logger.Info("order.created",
        slog.String("order_id", "O20260721001"),
        slog.Group("customer", slog.String("token", "bearer-abc-123")),
        slog.Group("payment", slog.String("card_no", "6222021234567890")),
    )

    got := buf.String()
    for _, secret := range []string{"bearer-abc-123", "6222021234567890"} {
        if strings.Contains(got, secret) {
            t.Fatalf("sensitive value leaked: %q", secret)
        }
    }
    for _, marker := range []string{"O20260721001", "[hidden]", "[card-hidden]"} {
        if !strings.Contains(got, marker) {
            t.Fatalf("missing marker %q in %s", marker, got)
        }
    }
}

运行 go test ./... 后，重点看两件事：敏感原文完全不出现，业务定位字段仍然存在。测试通过不代表所有日志调用都安全，所以还应搜索项目里的 slog. 调用，抽样检查异常分支和错误上下文。

接入生产采集前的三个边界

不要把 Value 当成普通字符串

如果日志里传入的是 slog.LogValuer 或结构化 Value，字段可能在 Handler 阶段才展开。优先让敏感对象实现自己的安全展示，公共 Handler 再做最后一道兜底。

规则要覆盖别名和大小写

调用方可能写 access_token、Authorization 或 mobile。可以把键名归一化后匹配，也可以建立项目统一的字段常量；不要只拦一个拼写。

隐藏规则要能回归

每新增一种敏感字段，就在测试表里补一条输入和期望标记。日志格式、采集器或 HandlerOptions 发生改动时，重新运行这组测试。

相关问题

ReplaceAttr 会不会改变普通字段？

回调返回原始 slog.Attr 即可保留普通字段；只有命中规则时才返回新的值。

为什么不在业务调用前手动删除 token？

手动处理容易漏掉异常分支和嵌套组。统一 Handler 能把保护逻辑收口，同时保留业务调用的可读性。

手机号应该全部隐藏吗？

取决于排查需求。示例保留前三位和后四位；如果日志权限较宽，建议改为完全隐藏，并在业务后台提供受控查询。

测试只检查字符串够不够？

它能发现最直接的泄漏。对关键项目还应把 JSON 解码成 map，递归检查键名和值，并在采集端做抽样复核。

验收清单

• 生产和测试都通过同一个 ReplaceAttr 规则。
• 顶层字段、嵌套组字段和大小写别名都有测试样例。
• 输出中保留订单号等定位字段，但不出现 token、卡号原文。
• 日志字段扩展后先补回归测试，再上线采集配置。