Go log/slog 怎样把属性组附加到日志记录

在 Go 的 log/slog 中，想把一批动态生成的属性放到同一个命名组，优先使用 slog.GroupAttrs：先把可选字段收集成 []slog.Attr，再以 slog.GroupAttrs("req", attrs...) 附加到日志记录。它负责整理字段路径，不负责隐藏或脱敏字段。

官方地址：https://pkg.go.dev/log/slog

属性组解决的是日志键的组织和隔离。安全风险要另外处理：敏感值仍会被 Handler 输出，必须通过 ReplaceAttr、LogValuer 或调用前的字段筛选建立防护控制。

• 固定字段：直接使用 slog.String、slog.Int 等构造 slog.Attr。
• 动态字段：用 []slog.Attr 收集后交给 GroupAttrs。
• 命名边界：req 组会形成 req.method 或 JSON 的嵌套字段。
• 防护边界：分组不会自动过滤 token、手机号、密码或其他敏感值。

先看清属性组保护的是什么

slog 的日志记录由消息、级别和键值属性组成。GroupAttrs 是 Group 的属性版本，只接收已经构造好的 slog.Attr，适合循环、条件分支或中间函数不断补充字段的场景。命名组让同名字段拥有清晰的路径，减少不同子系统把 id、status 写在同一层时的歧义。

下面的例子用 JSONHandler 让层级更明显。这里的注释只说明关键边界，不把每一行都机械翻译。

package main

import (
	"context"
	"log/slog"
	"os"
)

func main() {
	logger := slog.New(slog.NewJSONHandler(os.Stdout, nil))

	// 切片承载可选属性，条件分支可以继续追加字段。
	attrs := []slog.Attr{
		slog.String("method", "POST"),
		slog.Int("status", 201),
	}
	// 命名组只整理字段路径，不会改变字段值的敏感性。
	logger.LogAttrs(context.Background(), slog.LevelInfo, "request finished",
		slog.GroupAttrs("req", attrs...),
	)
}

这个调用的关键结果是：文本 Handler 通常表现为 req.method=POST、req.status=201；JSON Handler 则会把 req 表现为嵌套对象。具体格式由 Handler 决定，但属性组的命名语义仍然存在。

属性收集时怎样选择 Group、GroupAttrs 和空组名

如果属性数量固定、参数也固定，slog.Group 更直观：

logger.Info("request finished",
	// Group 接受交替的键和值，适合少量固定字段。
	slog.Group("req",
		slog.String("method", "GET"),
		slog.Int("status", 200),
	),
)

如果字段来自循环或多个条件，GroupAttrs 更合适，因为中间结果已经是 slog.Attr。如果组名传空字符串，属性会内联到当前层级，这适用于“有时需要分组、有时需要平铺”的统一接口，但要注意同名键可能重新发生碰撞。

attrs := []slog.Attr{
	slog.String("trace_id", "t-42"),
	slog.String("region", "cn-east"),
}

// 空组名表示内联，输出字段不再带 req. 前缀。
logger.LogAttrs(context.Background(), slog.LevelInfo, "request context",
	slog.GroupAttrs("", attrs...),
)

我的经验是：默认给请求、数据库、缓存等子系统保留命名组；只有下游明确要求扁平字段时才使用空组名，并在字段命名表里固定规则。

分组和敏感字段防护要分开

日志字段同时承担检索和审计价值，也可能成为敏感数据的扩散路径。WithGroup 只负责让某个 Logger 后续输出的属性带上组名，例如把解析器的 id 与请求层的 id 区分开；它不是访问控制，也不是脱敏器。

handler := slog.NewJSONHandler(os.Stdout, &slog.HandlerOptions{
	ReplaceAttr: func(groups []string, attr slog.Attr) slog.Attr {
		// 只在请求组内替换 token，其他组的同名字段不被误伤。
		if len(groups) == 1 && groups[0] == "req" && attr.Key == "token" {
			return slog.String("token", "[REDACTED]")
		}
		return attr
	},
})
logger := slog.New(handler).WithGroup("req")

// WithGroup 形成命名空间，ReplaceAttr 才负责值的处理。
logger.Info("authorized", slog.String("token", "secret-value"))

这里有两个容易混淆的点。第一，groups 表示当前属性所在的组路径，具体处理前应按项目的字段约定判断；第二，LogValuer 可以让自定义类型以组或安全摘要形式输出，但仍要明确哪些字段允许进入日志。不要因为属性放进了 security 或 req 组，就把它当成已经受保护。

按输出字段路径做最后复查

接入后可以围绕三类风险做轻量复查：命名组是否让同类字段拥有稳定前缀；空组名是否导致下游解析规则改变；敏感字段是否经过明确的替换或类型化输出。重点看结构化日志的字段路径，而不是只看整行文本是否“像成功了”。

常见问题

GroupAttrs 和 Group 有什么区别？

Group 接受交替的键值参数，GroupAttrs 只接受 slog.Attr。属性已经在切片或函数中准备好时，GroupAttrs 更适合。

空组名为什么要谨慎使用？

空组名会把属性内联到当前层级，可能改变 JSON 嵌套和字段前缀。如果下游查询依赖 req.method 这类路径，内联会破坏约定。

加了 GroupAttrs 就能隐藏敏感信息吗？

不能。它只组织字段；要隐藏或改写值，需要在调用前筛选，或使用 Handler 的 ReplaceAttr、类型的 LogValuer 等明确控制。