Go slog.LogValuer 怎么隐藏敏感字段并输出摘要

如果一个 Go 结构体同时装着 token、邮箱和登录状态，直接把它作为 slog.Any 的值记录，日志处理器可能看到整个对象。更稳妥的做法是让类型实现 slog.LogValuer，把“允许进入日志的字段”写成唯一公开表示：保留 request_id、账号后缀和状态，完整 token 与邮箱不参与输出。

确定公开日志表示

先不要从“如何把 token 替换成星号”开始，而要列出日志真正需要回答的问题：是哪次请求、哪个账号、当前处于什么状态。下面的 LoginEvent 中，Token 和完整 Email 都属于禁止输出字段；RequestID、邮箱后缀和状态才是排障摘要。

实现 LogValuer 返回摘要分组

LogValuer 的接口很小：实现 LogValue 并返回一个 slog.Value。返回 GroupValue 可以让 JSONHandler 继续保留字段结构，而不是把摘要拼成一段不可检索的字符串。

package main

import (
    "log/slog"
    "os"
    "strings"
)

type LoginEvent struct {
    RequestID string
    Email     string
    Token     string
    State     string
}

// LogValue 只返回日志白名单，原始 Token 和完整 Email 不会进入日志值。
func (e LoginEvent) LogValue() slog.Value {
    // 只保留邮箱域名，避免把完整账号写入集中式日志。
    domain := "unknown"
    if at := strings.LastIndexByte(e.Email, '@'); at >= 0 && at+1 

这里传入的仍是完整 LoginEvent，但处理器解析到 LogValuer 后使用它返回的分组值。日志中只会出现 request_id、email_domain 和 state；这比先序列化完整对象再做正则替换更容易维护。

处理空值、嵌套和延迟计算

脱敏方法本身也要有边界。空邮箱不能用切片下标硬取域名；异常格式应回落到固定值。对于昂贵摘要，别在调用日志函数前就计算完整结果，因为日志级别关闭时，参数表达式仍会先求值。可以把昂贵计算放进实现了 LogValuer 的轻量值中，让处理器真正需要它时再解析。

还要注意嵌套返回值：官方文档说明 Value.Resolve 会反复调用 LogValue，并防止无限递归；但解析成 group 后，组内属性值不会自动递归解析。因此，嵌套敏感对象必须在自己的公开表示中完成脱敏，不要把安全责任推给外层。

选择 LogValuer 与 ReplaceAttr 的职责

LogValuer 适合“这个类型无论在哪里记录都应该怎样公开”；HandlerOptions.ReplaceAttr 适合“这个 Handler 对所有记录中的某类字段做统一改写”，例如移除时间、调整 source 或过滤统一命名的属性。两者不是互斥的，但类型级秘密字段最好在离开业务对象时就被收敛。

可以按下面的清单复查：一是敏感字段是否根本没有出现在返回的 slog.Value 中；二是摘要是否仍有 request_id 等可检索线索；三是所有 Handler（文本和 JSON）是否都经过同一公开表示；四是 ReplaceAttr 是否只承担通用字段策略。这样既能隐藏秘密，也不会把日志变成没有上下文的“已处理”三字。

常见问题

LogValuer 返回字符串还是 GroupValue？

需要检索多个字段时优先返回 GroupValue；只有摘要本身就是一个不可再拆的安全标识时，才返回 StringValue。

ReplaceAttr 能过滤 LoginEvent 的 Token 吗？

它可以改写已解析的属性，但不应作为业务类型的唯一防线。类型实现 LogValuer 后，原始 Token 不进入公开值，规则更靠近数据源。

LogValue 里能返回原对象吗？

不建议。返回自身或互相返回 LogValuer 会增加递归风险；应返回不含敏感字段的新 Value，并让摘要字段保持有限、稳定。

官方资料：https://pkg.go.dev/log/slog