应优先使用结构化日志器（如zap或slog）显式脱敏敏感字段，避免字符串拼接和全局正则替换；对http请求、error等需递归遍历并清洗嵌套敏感值，确保覆盖header、body、stack trace及error链中所有潜在泄露点。
Go日志里出现 password、token、auth_token 怎么办
直接过滤字段比事后脱敏更可靠。Go 标准库 log 本身不支持字段级处理，得在写入前做拦截——要么改日志结构（比如用 zap 或 slog），要么自己 wrap io.Writer 做正则替换。
常见错误是只替换日志字符串里的 "password=123"，但漏掉 JSON body、URL query、stack trace 里的嵌套值；更糟的是用 strings.ReplaceAll 粗暴替换所有 "token"，结果把 "hostname" 也干掉了。
- 优先用结构化日志器（如
zap），配合zap.String("password", "***")显式传脱敏值，而不是拼接字符串 - 若必须用
log.Printf，在调用前对参数做预处理：检查每个interface{}是否为 map/slice/struct，递归遍历 key 名是否含"pass"、"token"、"key"、"secret" - 避免正则全局替换，改用
json.Unmarshal+ 递归遍历 map[string]interface{}，只对匹配 key 的 value 赋值为"***"
用 slog（Go 1.21+）做字段级脱敏的正确姿势
slog 默认不自动脱敏，但它支持 slog.Handler 接口，可以拦截每条 log record，在 Handle 方法里修改 Attrs。这是目前最轻量、最可控的方式。
容易踩的坑是以为给 slog.With 传了 slog.String("api_key", "***") 就安全了——其实原始敏感值可能还在 error 的 Unwrap() 链里，或藏在 fmt.Sprintf 拼出的 message 字符串中。
立即学习“go语言免费学习笔记（深入）”；
- 自定义
Handler时，必须同时处理record.Attrs和record.Message；后者需用json.Unmarshal尝试解析，再递归清理 - 不要在
Handle里直接修改record.Attrs原 slice，要append新 slice，否则并发写会 panic - 敏感 key 判定别只看全等，用
strings.Contains(strings.ToLower(key), "token")，覆盖"X-Auth-Token"、"access_token"等变体
HTTP handler 中的请求体和 header 自动脱敏实践
Web 服务日志最容易泄露的是 Authorization header、POST /login 的 JSON body、Cookie 字段。不能靠中间件统一打日志后处理，得在读取 request 的第一时间做剥离。
典型错误是用 r.Header.Get("Authorization") 打日志，却忘了 r.Header 是 map，底层仍存原始值；或者用 ioutil.ReadAll(r.Body) 后没重置 r.Body，导致后续 handler 读不到 body。
- 写中间件时，用
httputil.DumpRequest前先 cloner.Header并删掉"Authorization"、"Cookie"、"X-Api-Key" - 读取
r.Body前，先用io.TeeReader把 bytes 写进 buffer，同时用json.Decoder解析并脱敏敏感字段，再用bytes.NewReader重建r.Body - 别碰
r.FormValue，它会隐式调用ParseForm，可能触发 multipart 解析并泄露文件名等元信息；改用r.PostForm并手动遍历 key
error 类型里藏着的敏感信息怎么挖出来
Go 的 error 往往是封装过的，比如 fmt.Errorf("failed to call %s: %w", url, err)，里面的 err 可能来自 HTTP client，带完整的响应 body（含 token）。直接 log.Println(err) 等于裸奔。
很多人以为用 errors.Unwrap 一层层拆就能清干净，但有些 error 实现了 Unwrap 却没暴露全部字段，比如数据库驱动返回的 *pq.Error 有 Detail 字段，不会被 Unwrap 带出来。
- 对任意
error，先检查是否实现了自定义方法（如pgerr.Detail()、awserr.Error().Code()），再 fallback 到fmt.Sprintf("%+v", err) - 用
fmt.Sprintf("%+v", err)时，配合strings.ReplaceAll清洗已知模式，例如Bearer [a-zA-Z0-9._-]+、api_key=[a-zA-Z0-9]+ - 禁止在 error message 里拼接用户输入：
fmt.Errorf("invalid email %s", email)—— 改成fmt.Errorf("invalid email (redacted)")
真正难的不是写脱敏逻辑，而是确认所有 error 来源、所有日志出口、所有第三方库的内部字段是否都覆盖到了。哪怕只漏一个 github.com/xxx/client.ErrResponse 的 RawBody 字段，就可能把整个密钥轮换周期废掉。
