Go log/slog ReplaceAttr 脱敏后嵌套字段仍泄露怎么办

我在给结构化日志加脱敏时，最容易误判的一点是：嵌套字段并不会把完整路径放进 a.Key。ReplaceAttr 收到的是当前字段名，外层分组路径单独放在 groups 里。比如 slog.Group("user", slog.String("token", "...")) 会让回调看到 groups=["user"]、a.Key="token"。如果只拿 a.Key 去匹配 user.token，脱敏条件自然不会命中。

官方地址：https://pkg.go.dev/log/slog@go1.27.3#HandlerOptions

直接处理办法：把 groups 和 a.Key 拼成完整路径再匹配；全局敏感键继续按当前键判断。不要期待 ReplaceAttr 会被调用到 Group 本身，真正被回调的是 Group 里的非分组字段。

嵌套字段为什么没有出现在 a.Key 里

官方定义里，ReplaceAttr 只改写每个非 Group 属性。第一个参数是当前仍处于打开状态的分组名称列表，而且这个列表不能被保留或修改。以 user.token 为例，groups 是 ["user"]，a.Key 是 "token"；两者合起来才是业务上看到的完整字段路径。

因此下面两种条件都容易写错：一是把 a.Key 直接和 user.token 比较，二是只判断 groups 是否等于 user.token。前者缺少分组前缀，后者又漏掉了当前字段名。

按完整路径写一层脱敏函数

比较稳妥的做法是把“任何层级都要隐藏的键”和“只在特定对象下隐藏的路径”分开。回调内即时拼接路径，不保存 groups 切片，也不修改它；这样既符合接口约定，也能覆盖深一层或多层的 Group。

package main

import (
    "log/slog"
    "strings"
)

func redactAttr(groups []string, a slog.Attr) slog.Attr {
    // 这些键不论位于哪一层，都不能原样写入日志。
    switch a.Key {
    case "password", "token", "secret", "authorization":
        return slog.String(a.Key, "[REDACTED]")
    }

    // groups 是外层路径，a.Key 只表示当前字段；拼接后再匹配限定路径。
    pathParts := make([]string, 0, len(groups)+1)
    pathParts = append(pathParts, groups...)
    pathParts = append(pathParts, a.Key)
    fullPath := strings.Join(pathParts, ".")
    switch fullPath {
    case "user.email", "payment.card.number":
        // 用同名键返回替换值，保持 JSON/Text Handler 的字段结构不变。
        return slog.String(a.Key, "[REDACTED]")
    default:
        return a
    }
}

func newLogger() *slog.Logger {
    // ReplaceAttr 必须配置到实际负责输出的 Handler 上。
    handler := slog.NewJSONHandler(nil, &slog.HandlerOptions{
        ReplaceAttr: redactAttr,
    })
    return slog.New(handler)
}

示例里的 nil 只用于突出配置位置，真实程序应传入文件、标准输出或其他 io.Writer。重点是回调收到 user 组里的 token 时，会先命中全局键规则；收到 payment.card.number 时，则通过拼接后的完整路径命中限定规则。

Group、LogValuer 和 Any 不是同一种嵌套

很多“脱敏后仍泄露”的问题并不是路径拼接本身，而是记录时使用了不同的值形态。显式的 slog.Group 或返回 slog.GroupValue 的 LogValuer 会把内部属性展开，回调可以逐个看到叶子字段；而 slog.Any("user", account) 只是把一个普通值放在 user 这个键下，不能据此假设结构体字段会自动变成 groups 路径。

type Account struct {
    Name  string
    Token string
}

func (a Account) LogValue() slog.Value {
    // 明确返回 GroupValue，日志处理器才能按叶子属性调用 ReplaceAttr。
    return slog.GroupValue(
        slog.String("name", a.Name),
        slog.String("token", a.Token),
    )
}

func logAccount(logger *slog.Logger, account Account) {
    // Group 和 LogValuer 都会形成可遍历的属性结构。
    logger.Info("account", slog.Group("user", account))

    // Any 不代表自动展开；若需要字段级脱敏，优先改成 Group 或 LogValuer。
    logger.Info("account-as-value", slog.Any("user", account))
}

另外，处理器会先解析属性值再调用 ReplaceAttr。如果自定义 LogValuer 返回了分组值，回调最终会在展开后的非分组属性上工作；如果返回的是普通字符串或结构体值，就不会凭空产生更深的字段路径。

别忘了每个 Handler 都有自己的脱敏范围

HandlerOptions.ReplaceAttr 属于具体的 TextHandler 或 JSONHandler。如果程序同时配置控制台 JSON、文件文本和测试缓冲区，只有挂载了脱敏回调的 Handler 才会处理敏感属性。一个常见误区是给默认 logger 配置了安全 Handler，却在某个组件里直接创建了另一个没有选项的 Handler。

上线前可以用固定的脱敏样例检查日志出口：根字段、一级 Group、两级 Group、LogValuer 展开值和普通 Any 值各放一个敏感字段。检查重点不是某个输出格式的外观，而是每个实际启用的 Handler 是否都经过同一套规则。

相关问题

ReplaceAttr 会收到 Group 自己吗？

不会。它只对非 Group 属性调用，Group 的内容会继续展开并分别处理；所以要依据 groups 和当前叶子属性键判断。

为什么只判断 a.Key 等于 token 也可能不够？

如果业务只想隐藏某个对象下的字段，单独判断 a.Key 会把所有层级同名字段一起隐藏，或者无法区分路径。此时应拼出完整路径；如果业务要求所有层级都隐藏，直接按当前键判断反而更简单。

Any 里的结构体为什么没有按字段脱敏？

Any 只表达一个属性值，不等于自动生成 Group。需要字段级处理时，让类型实现返回 slog.GroupValue 的 LogValuer，或显式使用 slog.Group。