Go net/url URL.Redacted 如何隐藏密码：脱敏输出与原始 URL 边界

服务把请求地址写进错误日志后，最容易被忽略的不是 Host，而是 `https://alice:secret@example.com` 这一段 Userinfo。Go 的 `net/url` 已经提供了专门的 `URL.Redacted` 方法：它保留 URL 的结构，只把 `u.User` 中的密码显示为 `xxxxx`。不过，这个方法只处理 URL 密码，不会替你清理查询参数或其他日志字段。

把 URL 展示给人看时用 `Redacted()`，把 URL 发给 HTTP 客户端时仍使用原始 `URL`；不要把脱敏后的字符串再当作请求地址解析。

为什么 URL.String 会把密钥带进日志

`url.Parse` 会把原始地址解析成结构化对象。下面的 Userinfo 同时包含用户名和密码，`URL.String` 的职责是把这些字段重新拼回一个合法 URL，它并不承担日志脱敏职责。

package main

import (
    "fmt"
    "net/url"
)

func main() {
    u, err := url.Parse("https://alice:secret@example.com/api/items?tenant=demo")
    if err != nil {
        panic(err)
    }

    fmt.Println(u.String())
    fmt.Println(u.Redacted())
}

第一行会包含 `alice:secret@`，第二行会把密码位置变成 `alice:xxxxx@`。这里先别急着对字符串做替换：URL 中的转义、用户名和密码边界应该交给 `net/url` 处理。

最小配方：展示时调用 URL.Redacted

需要记录请求地址、输出诊断信息或在页面上显示连接目标时，直接调用 `Redacted()`：

func displayURL(raw string) (string, error) {
    u, err := url.Parse(raw)
    if err != nil {
        return "", err
    }
    return u.Redacted(), nil
}

这个返回值仍然是一个字符串，不会修改原来的 `URL` 对象。若后续代码还要发请求，应保留 `u`，而不是拿 `displayURL` 的返回值继续作为请求目标。

Redacted 到底隐藏了哪些字段

用户名会保留，密码会固定显示为 xxxxx

官方文档将行为描述得很明确：`Redacted` 类似 `URL.String`，但会替换密码；只有 `u.User` 里的密码会被处理。因此用户名、协议、Host、Path、Fragment 等 URL 结构不会因为调用它而消失。

查询参数里的 token 不会自动消失

例如 `?token=secret` 属于 `RawQuery`，不是 `u.User` 的密码。下面的结果仍会保留查询参数：

u, _ := url.Parse("https://alice:secret@example.com/api?token=query-secret")
fmt.Println(u.Redacted())
// https://alice:xxxxx@example.com/api?token=query-secret

所以 `Redacted` 不能代替完整的日志字段策略。若业务规定查询参数不得落日志，应在写日志前单独删除或替换对应参数；不要假设 URL 方法知道你的业务字段名。

User.Password 什么时候该用

如果业务确实需要判断 URL 是否带密码，或者要把密码交给认证客户端，可以调用 `u.User.Password()`。它返回两个值：密码字符串和是否存在密码的布尔值。

if u.User != nil {
    password, ok := u.User.Password()
    if ok {
        // password 只在认证调用的短路径中使用，不要写入日志。
        _ = password
    }
}

注意 `u.User` 可能是 `nil`，直接调用会触发空指针问题。密码被读取出来后也不会自动过期或自动清除；变量的生命周期、日志参数和错误包装仍由调用方负责。

三个容易混淆的使用边界

• 日志、错误消息、诊断页面：用 `u.Redacted()`，并继续审查 Query、Header 和结构化字段。
• HTTP 客户端或签名流程：使用原始 `u` 或明确的请求对象，不要把 `xxxxx` 的展示字符串当作真实凭据。
• 拼接新的 URL：优先修改结构化字段，再调用 `String()` 或 `Redacted()`；不要用多个字符串替换规则猜测转义边界。

相关问题

Redacted 会修改原来的 URL 吗？

不会。它返回展示用字符串，原来的 `URL.User` 仍保存原值。

没有密码时 Redacted 会怎样？

没有可隐藏的密码时，它按 URL 的正常字符串形式输出，不会凭空增加 `xxxxx`。

只想隐藏查询参数可以直接用 Redacted 吗？

不可以。`Redacted` 的范围是 `u.User` 密码；查询参数要通过 `url.Values` 或业务字段白名单单独处理。

一段可直接放进日志前的检查代码

func safeURLForLog(raw string) (string, error) {
    u, err := url.Parse(raw)
    if err != nil {
        return "", err
    }
    // 这里只处理 URL Userinfo 密码；敏感 Query 仍需业务侧明确治理。
    return u.Redacted(), nil
}

把这段逻辑放在日志边界，而不是放在请求构造边界，职责会更清楚：原始对象服务于请求，脱敏字符串服务于展示。上线前再用包含 Userinfo、Query 和无密码三种样例跑一次日志回归，确认没有把凭据写进采集链路。