高性能脱敏唯一路径是控制序列化入口，用指针接收器实现json.Marshaler接口，配合别名类型防递归、闭包捕获权限、go:generate生成静态方法规避反射，并在HTTP响应、日志等各出口前置脱敏。
别用字符串替换、别在 JSON 序列化后动字节流——高性能脱敏的唯一路径是控制序列化入口，且必须规避反射开销。
用 json.Marshaler 接口做字段级可控脱敏
这是最稳定、类型安全、零额外 GC 的方式。它不改原始数据，只影响最终 JSON 输出，且能精准响应上下文（如权限、环境）。
常见错误现象：实现值接收器 func (u User) MarshalJSON()，导致嵌套结构体或 nil 指针无法修改；或手动拼 "{\"phone\":\"***\"}"，引号/转义出错、nil panic。
- 必须用指针接收器：
func (u *User) MarshalJSON() ([]byte, error) - 防递归的关键是定义内部别名类型：
type Alias User，再用(*Alias)(u)转换 - 脱敏值不能设为空字符串（若字段带
json:",omitempty"会被丢弃），建议用"[REDACTED]"或固定掩码如"*** **** ***" - 权限判断不能塞进方法签名（
json.Marshal不传 context），得靠闭包、全局开关或从ctx.Value提前取好再闭包捕获
避免高频反射——为常用结构体生成静态脱敏方法
每次请求都 reflect.ValueOf(v).NumField() 遍历，性能直接掉 10 倍以上。尤其在日志、HTTP 响应等高频路径，反射是明确瓶颈。
立即学习“go语言免费学习笔记（深入）”；
使用场景：用户中心、订单、资料等核心结构体固定、字段稳定，但需按角色/环境动态脱敏。
- 用
go:generate+ 模板扫描 struct tag（如secure:"phone,mask"），为每个结构体生成Redact(ctx context.Context) *User方法 - 生成代码直接访问字段，无反射调用，零 runtime 成本
- tag 中声明规则而非逻辑，例如
secure:"id_card,mask:8"表示身份证掩码中间 8 位，生成器据此硬编码切片逻辑 - 私有字段自动跳过，无需
CanInterface()判断，编译期即确定可访问性
HTTP 响应脱敏必须包装 http.ResponseWriter，不能依赖中间件后读 body
gin/echo 默认不 buffer 响应体，c.Writer 一旦 WriteHeader 发送状态码，就 flush 到连接，中间件里再也拿不到原始 JSON 字节。
错误做法：在 c.Next() 后试图读 c.Writer.Body —— 多数框架根本不提供该字段；或用 io.TeeReader 拦 request body，却忘了 response 是单向写流。
- 必须在 handler 执行前替换
c.Writer，实现自定义ResponseWriter，重写Write([]byte) - 仅对
Content-Type: application/json做解析，其他类型（如text/html）直通 - 用
json.Decoder.Token()流式解析，匹配到目标 key 路径（如user.phone）后调用skip()并注入掩码，避免全量解码 - 禁止正则扫整个 JSON 字符串——会误伤 URL、数字、嵌套对象里的同名字段
日志脱敏必须在构造 zap.Any 或 zerolog.Interface 前完成
zap、zerolog 等库不会识别“敏感语义”，logger.Info("login", zap.Any("user", u)) 会原样展开结构体字段，包括 Password 和 APIKey。
典型漏点：只处理了结构体字段，却没碰 map[string]interface{}、url.Values、http.Header 里的敏感键（如 "Authorization"、"X-Api-Key"）。
- 对结构体，优先实现
zapcore.ObjectMarshaler接口，显式控制每个字段输出 - 对 map，用
SanitizeMap(m map[string]interface{})递归检查 key 是否在预设敏感列表（"pwd", "token", "secret"），只替换 value，不改 key 名 - 禁止对最终日志字符串做
strings.ReplaceAll—— 无法区分"password=123"（query）和"password":"123"（JSON 字段值） - HTTP 请求的
r.FormValue("token")必须在打日志前手动清理，框架不会帮你做
真正难的不是写一个掩码函数，而是让脱敏行为贯穿所有数据出口（JSON、日志、SQL 日志、panic 栈、导出文件），且每处都不破坏类型契约、不引入竞态、不放大延迟。字段名变了、空值行为变了、嵌套深度变了——前端就可能报错。这些细节，比“怎么遮手机号”重要得多。
