Go 怎样导出客户端请求而不读取业务响应

Go 客户端请求调试可以使用 httputil.DumpRequestOut，不需要先发送请求，更不需要读取业务 Response.Body。对日志用途，建议先制作脱敏副本，再以 body=false 导出。不要为了查看请求而调用 DumpResponse，也不要把导出文本当作真实网络抓包。

官方地址：https://pkg.go.dev/net/http/httputil#DumpRequestOut

准备一个只用于调试的请求视图

本例目标是观察方法、目标主机和标准客户端补充的头，不记录凭据或业务内容。为此，调试副本删除全部查询参数、用户信息与正文，并把路径替换为固定占位路径。它不是原始请求的逐字复刻，真实请求仍交给原有业务逻辑发送。

原始请求与调试副本的 Header、URL 应独立；Clone 会复制这些结构，但 Body 仍是浅复制。本例主动把副本 Body 置空，并同步清理长度、传输编码、GetBody 和 Trailer，避免对共享的正文流执行读取或关闭。

实现默认不保留业务字段的导出函数

将下面代码保存到 requestlog.go。示例只保留经过明确匹配的少量媒体类型；Authorization、Cookie 和自定义头全部不进入日志。实际业务若需要新增字段，应按字段含义决定，而不是维护一份永远补不全的敏感头黑名单。

package requestlog

import (
    "errors"
    "net/http"
    "net/http/httputil"
)

// DumpMetadata 生成脱敏的元数据视图，不读取请求正文或业务响应。
func DumpMetadata(req *http.Request) ([]byte, error) {
    if req == nil || req.URL == nil {
        return nil, errors.New("missing request or URL")
    }
    if req.URL.Scheme != "http" && req.URL.Scheme != "https" {
        return nil, errors.New("unsupported URL scheme")
    }

    view := req.Clone(req.Context())
    // Clone 的 Body 仍与原请求共享；只清空副本，不调用 Close。
    view.Body = nil
    view.GetBody = nil
    view.ContentLength = 0
    view.TransferEncoding = nil
    view.Trailer = nil
    view.Close = false
    view.RequestURI = ""

    // 删除可能包含身份、签名和业务标识的 URL 部分。
    view.URL.User = nil
    view.URL.Opaque = ""
    view.URL.Path = "/_redacted_"
    view.URL.RawPath = ""
    view.URL.RawQuery = ""
    view.URL.ForceQuery = false
    view.URL.Fragment = ""
    view.URL.RawFragment = ""

    // 重新构建头集合；连未知自定义头也默认排除。
    view.Header = make(http.Header)
    switch req.Header.Get("Content-Type") {
    case "application/json", "text/plain", "application/octet-stream":
        view.Header.Set("Content-Type", req.Header.Get("Content-Type"))
    }
    return httputil.DumpRequestOut(view, false)
}

这个函数保留了 Method、URL.Host 和显式 Host，方便定位目标。若这些字段在你的系统里也含租户标识或内部拓扑信息，应继续替换或限制访问；示例不是适用于所有系统的“完全匿名化”保证。原始请求不要与另一个 goroutine 的修改操作并发共享。

用不允许读取的 Body 检查调用边界

下面是供读者运行的离线测试，不会发起业务网络请求，也没有创建业务响应。测试通过应表现为正常结束且不出现 panic；同时检查原始 URL 和鉴权头仍保留。本文未在本机执行这些示例。

package requestlog

import (
    "net/http"
    "strings"
    "testing"
)

// 若调试代码误读或误关业务 Body，测试立即失败。
type forbiddenBody struct{}

func (forbiddenBody) Read([]byte) (int, error) {
    panic("request body must not be read")
}
func (forbiddenBody) Close() error {
    panic("request body must not be closed")
}

func TestDumpMetadata(t *testing.T) {
    req, err := http.NewRequest("POST",
        "https://example.invalid/orders/private-id?token=demo-secret",
        forbiddenBody{})
    if err != nil {
        t.Fatal(err)
    }
    req.Header.Set("Authorization", "Bearer demo-secret")
    req.Header.Set("Content-Type", "application/json")

    dump, err := DumpMetadata(req)
    if err != nil {
        t.Fatal(err)
    }
    text := string(dump)
    // 检查输出不含演示敏感值、原路径或凭据字段。
    for _, forbidden := range []string{
        "demo-secret", "private-id", "Authorization:", "?token=",
    } {
        if strings.Contains(text, forbidden) {
            t.Fatalf("unexpected field: %s", forbidden)
        }
    }
    // 脱敏只改副本，原始请求仍供业务发送。
    if req.URL.Path != "/orders/private-id" ||
        req.Header.Get("Authorization") != "Bearer demo-secret" {
        t.Fatal("original request was changed")
    }
}

# 在新建的示例目录中初始化模块，再运行离线测试。
go mod init example.invalid/requestlog
go test ./...

若目录已有 go.mod，跳过初始化。这里只检查示例约定，不证明生产日志策略覆盖了所有业务敏感字段。

区分导出文本与真正的传输内容

DumpRequestOut 会体现标准 Transport 补充的部分头，但不等同于你的自定义 Transport、代理或实际 HTTP/2 帧。本例又主动删除了正文相关信息，所以长度与路径不能用于签名校验、完整请求重放或字节级故障对比。

扩展字段之前先约定保留范围

需要观察查询结构时，可以记录参数名称而不记录值；需要定位路由时，优先由调用方提供路由模板，不靠字符串替换猜测哪些路径段是用户数据。不要把原始 dump 先写入文件再脱敏，因为敏感副本已经存在。错误日志也只记导出失败类别，避免顺手输出整个请求。

临时排障完成后关闭调试开关，限制日志访问与保留期限，并清理演示日志。日志体积控制应在选择字段时解决；事后截断大字符串既不能消除前面的内存开销，也可能留下半段敏感值。

常见问题

body=false 是否就足够安全？

不够。它不自动清理头或 URL，也不自动限制导出开销。本例额外去掉正文元数据并重建允许记录的字段。

为什么不用 DumpRequest？

面向客户端待发请求选择 DumpRequestOut；DumpRequest 主要用于服务端调试收到的请求。不要把服务端 RequestURI 原样带进客户端调试副本。

需要正文调试怎么办？

先确认确有必要。只有小型、可重放且明确允许记录的测试数据，才考虑单独构造受限副本；不要直接把 true 套到文件上传、管道或长期流式请求上。

API 与实现说明：https://pkg.go.dev/net/http/httputil#DumpRequestOut；复制语义：https://pkg.go.dev/net/http#Request.Clone。