审计日志核心是确保“谁在什么时候以什么身份干了什么”且不可抵赖、不可篡改，必须包含完整上下文（用户、操作、资源、结果、时间戳），独立存储、最小化脱敏、落地原子性保障。
Go 程序里加审计日志，核心不是“记什么”，而是“谁在什么时候以什么身份干了什么，且这条记录不可抵赖、不可篡改”。直接用 log 包或随便打个结构化日志，基本等于没做审计。
审计日志必须带完整上下文：用户、操作、资源、结果、时间戳
普通业务日志常省略调用方身份，但审计日志第一条铁律是：每条日志必须能明确追溯到具体主体。常见漏点包括：
- HTTP 请求中从
Authorization或 session 解出的userID/role没传入日志上下文 - 异步任务（如 goroutine 启动的定时清理）缺失请求上下文，导致
userID为空或为系统账号却未显式标注 - 使用
time.Now()而非请求开始时统一采集的时间戳，导致前后日志时间不一致 - 错误结果只记
"failed"，没记具体错误码（如err.Code == "permission_denied"）或 HTTP 状态码（如403）
实操建议：用 context.Context 携带审计字段，在中间件或 handler 入口注入 audit.UserID、audit.Action、audit.ResourcePath 等键值；日志写入前校验这些字段是否全非空，缺一则打 warning 并补默认值（如 "system"），避免日志残缺。
别把审计日志和应用日志混进同一个输出流
审计日志要独立存储、独立权限控制、独立保留策略。混在一起会带来三个实际问题：
立即学习“go语言免费学习笔记（深入）”；
- 运维无法单独对审计日志做归档（比如按月切分 + 加密压缩），因为和 debug 日志耦合
- 安全团队查违规操作时，得从 GB 级别的混合日志里 grep，效率低且易漏
- 审计日志需满足等保/ISO27001 要求（如保留180天、防删改），而应用日志可能只留7天
实操建议：用独立的 *log.Logger 实例，输出到专用文件（如 /var/log/app/audit.log），并配置不同 rotation 规则（用 lumberjack.Logger 时设 MaxAge: 180）；禁止将审计字段打到 stdout 或 JSON 格式通用日志中——哪怕格式一样，也要物理隔离。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
写入前做最小化脱敏，但保留可追溯性
审计日志本身是高敏感数据，不能裸存密码、token、身份证号，但也不能脱敏过度导致无法定位问题。关键矛盾点在于：“脱敏”和“可审计”之间必须有明确边界。
- 绝对禁止记录原始密码、API Key 明文、JWT token 全体字符串
- 允许记录 token 的哈希前缀（如
sha256(token)[:8]）或 issuer + subject 字段 - 手机号、身份证号应掩码处理（如
138****1234、110101****000X），但需额外记录脱敏前 hash（如sha256(idCard)），供紧急溯源 - SQL 查询语句要剥离参数值（用
WHERE id = ?形式），但保留表名、操作类型（SELECT/UPDATE）、影响行数
实操建议：定义审计事件结构体，所有字段经 audit.Sanitize() 方法处理后再序列化；该方法内部用白名单机制——只对已知敏感字段（如 Password、IDNumber）做变换，其余字段直出。别用正则全局替换，容易误伤。
确保日志落地原子性，防止因 panic 或 crash 丢记录
审计日志一旦生成，就必须落盘。Go 的 log 默认缓冲，进程崩溃时最后一段日志大概率丢失——这对审计是致命缺陷。
- 禁用
log.SetOutput(os.Stdout)这类无刷盘保障的输出目标 - 用
os.O_SYNC | os.O_WRONLY打开日志文件，或在每次写入后显式调用file.Sync() - 更稳妥做法：审计日志走独立 goroutine + channel 缓冲（如容量 1024），worker 串行写入并 sync；注意 channel 阻塞时要超时丢弃（
select { case ch ），避免拖垮主流程 - 若用第三方库（如
zerolog），确认其WriteSyncer实现含Sync()调用，而非仅Write()
真正难的是：当服务被 kill -9 或宿主机断电时，最后几条日志仍可能丢失。所以生产环境审计日志建议双写——本地文件 + 发送到远程审计中心（如 Loki + Promtail，或 Kafka topic 带 ack=all）。本地只是兜底，远程才是权威源。
审计日志最难的从来不是怎么写进去，而是怎么保证它不被绕过、不被伪造、不被静默丢弃。每个 handler、每个 RPC 方法、每个定时任务入口，都得显式声明并填充审计上下文——漏掉一个，整套审计就出现盲区。
