防止敏感数据进入日志：从代码源头到平台兜底的八道防线

防止敏感数据进入日志，是指通过代码规范、脱敏技术与平台管控的组合手段，确保个人身份信息、凭证、金融数据等敏感内容不被写入日志，或即使写入也处于不可读状态。 日志天然汇聚系统运行细节，一旦泄露，攻击者拿到的是"系统活动的完整记录"——其风险不亚于数据库泄露。

什么算敏感数据

• 个人身份信息（PII）：姓名、身份证号、手机号、邮箱、地址；
• 金融信息：银行卡号、支付信息、账户数据；
• 健康医疗信息：病历、处方等受行业法规保护的数据；
• 认证凭证：用户名密码、密钥、Token、安全问题答案；
• 商业机密：算法、合同、经营数据；
• 生物特征：指纹、人脸数据等。

判断某字段能不能记，先过三问：泄露了对业务有什么影响？对用户有什么伤害？是否触碰 GDPR、《个保法》等合规义务？ 拿不准的一律按敏感处理。

核心要点速览

• 第一原则：敏感数据从源头就不进日志（代码层排除）；
• 必须引用时用脱敏（部分遮蔽）或令牌化（随机令牌替代，原始值存入独立数据保险库）；
• 应用内漏网的，由 Pipeline 采集端脱敏与平台敏感数据扫描双层兜底；
• 配套手段：传输加密、URL 不含敏感参数、角色化访问控制、定期审计与自动告警。

八道防线详解

防线一：代码层排除（治本）

最直接的手段是根本不打敏感字段。三个配套动作：

• 数据最小化：只记排障必需的信息；
• 代码评审盯日志调用：把"日志是否夹带敏感数据"列入 Review 检查清单；
• 测试断言：为日志输出写测试——捕获日志内容并断言不含敏感关键词（如用自定义 Appender 捕获日志事件，断言输出中不出现"密码""身份证"等字样），把泄露挡在上线前。

防线二：脱敏与遮蔽

必须保留部分信息用于核对时，二选一：

• 擦除（Redact）：整个字段替换为 [REDACTED]，彻底不可恢复——适合密码、密钥；
• 遮蔽（Mask）：保留局部可读性，如 ******@gmail.com——适合邮箱、手机号。

多数框架支持自定义 Filter/Serializer 实现。以 Python 为例，自定义 Filter 在日志输出前遍历指定字段并替换值。

防线三：令牌化（Tokenization）

需要"日志里可引用、必要时可还原"的场景（如支付卡号排查），用随机令牌替代原始值：

{"message": "支付完成", "credit_card": "fHdCE6poQH"}

令牌与原始值的映射关系存入独立的数据保险库（加密 + 严格访问控制），日志中只出现令牌。Node.js 的 Pino 可用自定义 serializer 在输出前完成替换。

防线四：传输加密

日志从产生到平台的路途是潜在截获点。要求：采集链路启用 TLS；密钥安全存储与定期轮换；必要时用数字签名校验传输完整性。观测云落地：DataKit 与平台间的数据传输默认走 HTTPS 加密通道。

防线五：URL 不进敏感参数

Web 框架常自动记录请求 URL——GET /user/<id>/<address> 这类设计会把敏感信息写进每一条访问日志。两个对策：敏感信息改用 POST 放在请求体中传输；必须记 URL 时对参数部分做脱敏。

防线六：访问控制

按角色分配日志查看权限，只让真正需要排障的人看到日志；强密码 + 多因素认证保护平台账号。观测云落地：数据访问功能按成员角色限定可查询的日志范围；字段展示权限对敏感字段做脱敏展示，即使有权查日志的人也看不到明文 。

防线七：平台层自动扫描兜底

应用层和管道层总有漏网之鱼，平台层需要最后一道自动防线。观测云落地：敏感数据扫描内置 70+ 预定义规则（身份证、手机号、银行卡、密钥凭证等），在数据写入存储引擎之前完成脱敏，原始敏感值不落盘 。采集端还可用本地 Pipeline 的 cover()/replace()/drop() 函数，让敏感值不出宿主机 。

防线八：定期审计 + 实时告警

• 审计：定期检查日志中是否混入敏感数据——日志量太大无法人肉，可用查看器保存"敏感字段检索视图"定期复查；
• 告警：建一个监控器，检测"email 字段存在且未被遮蔽"或"password 字段存在"这类日志，一旦出现立即通知责任人——30 秒内响应远胜于季度审计时才发现。

总结

敏感数据防护的心法是纵深防御：代码层治本（排除/脱敏/令牌化），传输与访问层守路，平台层兜底（扫描 + 审计 + 告警）。任何单层失效，都有下一层接住。

常见问题（FAQ）

Q：脱敏和令牌化怎么选？
不需要还原的用脱敏（简单直接）；需要"事后凭令牌查回原始值"的场景（如支付对账）用令牌化，但要额外维护加密的数据保险库。

Q：DEBUG 日志最容易泄露敏感数据，怎么办？
生产默认关闭 DEBUG；临时开启排障时配合观测云黑名单收敛采集范围，并确认敏感数据扫描规则处于启用状态。

Q：已经泄露进历史日志的敏感数据怎么处理？
先在平台侧删除或隔离含敏感值的日志数据，再补 Pipeline/扫描规则防止复发，最后复盘泄露路径并更新代码评审清单。

---

系列阅读：日志最佳实践十二条 ｜ 微服务日志最佳实践