Go slog.Handler 怎样过滤敏感字段

我第一次把 log/slog 接进服务时，最容易漏掉的不是日志格式，而是某个调用点顺手写入了 token。逐个搜索调用点能暂时补洞，却很难保证新代码不再带出凭据。更稳妥的做法是把策略放在 slog.Handler 出口：所有记录先经过 HandlerOptions.ReplaceAttr，再交给文本或 JSON 处理器。

先把日志里的资产和攻击路径划清楚

把密码、访问令牌、Cookie、Authorization 和私钥材料列入默认拒绝项；订单号、用户 ID、状态码等可检索字段则尽量保留。风险路径通常有两条：业务代码直接把敏感字段作为 Attr 传入，或者把它包在 slog.Group 里后绕过了只检查顶层键名的规则。第二种情况尤其容易在请求上下文日志里出现。

用 ReplaceAttr 把脱敏放在统一出口

下面的策略同时覆盖顶层和分组字段。删除字段用零值 Attr；需要保留字段存在感但不能暴露原值时，返回固定占位符。代码里的日志内容只是示例，图片同样只表达组件关系，不代表本机运行结果。

package main

import (
	"log/slog"
	"os"
	"strings"
)

// redactAttr 在 Handler 出口统一处理敏感字段，避免策略散落在业务调用点。
func redactAttr(groups []string, a slog.Attr) slog.Attr {
	key := strings.ToLower(a.Key)
	// 这些键无论位于顶层还是请求分组内，都不应写入日志。
	switch key {
	case "password", "passwd", "token", "access_token", "authorization", "cookie", "private_key":
		return slog.Attr{}
	}
	// 对可能包含个人信息的字段保留键名，但只输出固定占位符。
	if key == "email" && len(groups) > 0 {
		return slog.String(a.Key, "[redacted]")
	}
	return a
}

func main() {
	// TextHandler 和 JSONHandler 都能复用同一份 ReplaceAttr 策略。
	logger := slog.New(slog.NewJSONHandler(os.Stdout, &slog.HandlerOptions{
		ReplaceAttr: redactAttr,
	}))
	logger.Info("login", slog.String("user_id", "u-42"), slog.String("token", "secret"))
	logger.Info("request", slog.Group("auth",
		slog.String("authorization", "Bearer secret"),
		slog.String("email", "dev@example.com"),
	))
}

这里没有把所有字段都改成固定值：user_id 仍能帮助排查，authorization 直接删除，分组里的 email 则按上下文改写。生产环境应把键名表放在代码评审可见的位置，并为新增认证字段补测试，而不是依赖开发者记忆。

验证输出时要同时检查删除、替换和分组边界

ReplaceAttr 处理的是非 Group 属性，分组本身不会作为一个普通 Attr 传入；嵌套属性会携带 groups 路径。因此测试不能只写一个顶层 token，还要覆盖 Group("auth", ...)。建议用 bytes.Buffer 接收 JSON 输出，断言敏感原文不存在，同时断言业务键仍存在。

一个实用的复查清单是：先用敏感值做唯一测试样本，再检查 JSON 文本是否包含原值；然后检查分组路径；最后模拟一个新字段名，确认代码评审会触发策略更新。不要把“日志里看不到”误当成“系统已经安全”，因为请求体、错误堆栈和第三方 exporter 可能走另一条链路。

常见问题

只在 slog.Info 调用点手动脱敏可以吗？

可以作为局部补救，但不适合作为唯一控制点。统一配置 Handler 才能覆盖遗漏的调用点。

ReplaceAttr 能清理日志消息文本里的密码吗？

它主要处理属性；如果密码被拼进 msg 字符串，需要禁止这种写法，或在更早的边界修正消息来源。

删除字段和替换成 [redacted] 怎么选？

凭据通常直接删除，便于降低泄露面；需要确认字段曾出现过时，可保留键名并使用固定占位符。