Go net/url.URL.Redacted 为什么能隐藏凭据：日志脱敏与用户信息字段边界

服务把请求地址写进日志时，最容易漏掉的是 URL 用户信息：同一个地址既可能包含用户名，也可能在冒号后带密码。Go 的 net/url 包提供了 URL.Redacted()，它会复制 URL，并把密码替换为 xxxxx；如果 URL 没有密码，用户名仍会保留。这个行为适合做日志入口的第一层保护，但不能把它当成所有敏感字段的通用清洗器。

先用 u.Redacted() 记录 URL，再单独处理查询参数、请求头和路径中的业务密钥；不要直接把原始 u.String() 写入生产日志。

URL.Redacted 处理的到底是哪一段

先看一个最小例子。这里故意把用户信息放在 URL 的 authority 部分，而不是查询参数里：

package main

import (
    "fmt"
    "net/url"
)

func main() {
    u, _ := url.Parse("https://alice:s3cret@example.com/orders?id=42")
    fmt.Println(u.String())
    fmt.Println(u.Redacted())
}

输出的第一行仍然包含 alice:s3cret，第二行会把密码替换为 xxxxx。方法关注的是 u.User 这组用户信息，不会扫描整条字符串寻找“看起来像密码”的片段。

图中只保留与示例对应的调用链：url.Parse 生成 URL，URL.Redacted 处理用户信息，最后进入日志输出。

为什么原始 URL 还在，而日志副本已经变了

Redacted() 的关键不是“把原对象擦掉”，而是生成一个可安全展示的字符串。可以把代码写成两个变量来观察边界：

raw := u.String()
safe := u.Redacted()

fmt.Println(raw)  // https://alice:s3cret@example.com/orders?id=42
fmt.Println(safe) // https://alice:xxxxx@example.com/orders?id=42

这种设计很重要：请求发送仍然使用原始 URL，日志使用脱敏副本，两条路径不会因为打印动作改变请求目标。Redacted() 只处理用户信息里的密码；id=42 仍原样出现在结果里。

数据流的分界在 safe := u.Redacted()：原始 URL 继续用于请求，脱敏副本用于日志，查询参数仍需额外检查。

没有密码时，用户名为什么还会留下

https://alice@example.com 只有用户名，没有密码。调用 Redacted() 后，用户名仍然会显示。这不是脱敏失效，而是 API 对“密码”这一字段做的精确处理。用户名是否属于敏感信息，要由你的日志规范决定。

如果用户名本身是邮箱、租户编号或内部账号，建议在日志层再做一次业务脱敏。不要为了让一条日志“看起来干净”而修改请求 URL；应该创建独立的展示值。

查询参数和请求头不会被自动清理

下面这个地址的密码不在 User 中：

u, _ := url.Parse("https://example.com/callback?token=abc123")
fmt.Println(u.Redacted())

这里的 token=abc123 仍会保留，因为 Redacted() 不知道哪个查询键是凭据。实际项目可以复制 URL 后重建 RawQuery，只清理明确的键；请求头中的 Authorization、Cookie 和自定义签名也必须在写日志前单独处理。

常见问题

URL.Redacted 会修改原来的 URL 吗？

不会。它返回脱敏后的字符串，原始 URL 仍可用于请求或后续处理。

为什么密码总是显示成 xxxxx？

这是该方法约定的占位符，用来表明这里存在密码，但不暴露原值；不要依赖占位符长度表达真实密码长度。

调用 Redacted 后还需要清理查询参数吗？

需要。查询参数不属于用户信息，token、signature 等键仍可能原样输出。

可以用它替代整个日志脱敏方案吗？

不可以。它只覆盖 URL 用户信息中的密码，日志字段、请求头、响应体和业务参数仍要分别定义规则。

把脱敏放在日志边界

最稳妥的做法是让“请求值”和“展示值”尽早分开：发送请求使用 u，记录日志使用 u.Redacted()，再对查询参数和请求头做针对性处理。这样既保留排查问题所需的主机、路径和参数，也不会因为一次打印把用户信息中的密码带进集中式日志。