Java防范异常链敏感信息泄露需从捕获、日志、响应、上下文四环节设防：全局拦截屏蔽原始堆栈，日志脱敏并限制堆栈深度，响应只返模糊提示，自定义异常封装错误码，剥离第三方异常链。
Java中防范异常链导致的敏感信息泄露，关键在于切断原始异常向外部暴露的路径，同时确保内部可追踪、日志不裸奔、响应不泄密。这不是加一层try-catch就能解决的事，而是要从异常捕获、日志记录、响应封装、上下文清理四个环节系统设防。
统一异常拦截，屏蔽原始堆栈
生产环境绝不能让Exception.getMessage()或printStackTrace()直接出现在HTTP响应体里。哪怕只是“Connection refused to db_host:5432”，也等于告诉攻击者数据库部署细节。
- 用@ControllerAdvice + @ExceptionHandler全局捕获所有未处理异常
- 对客户端只返回模糊提示，如“服务暂时不可用”，状态码保持500或自定义错误码
- 原始异常必须完整记录到服务端日志（含堆栈），但该日志严禁开放给非运维人员访问
- 禁用任何将e.toString()、e.getStackTrace()拼接到ResponseEntity.body()的操作
日志脱敏：在写入前抹掉敏感字段
异常消息里常混着用户输入、SQL语句、URL参数甚至临时凭证。一条log.error("Login failed for {}", user)看似无害，但若user是"admin' OR '1'='1"或"test@123.com?token=abc123"，问题就大了。
- 编写通用脱敏工具类，对手机号（138****1234）、身份证（110101****1234****）、邮箱（u***@domain.com）、JWT片段等自动掩码
- 在logger调用前做预处理：log.error("Auth error: {}", maskSensitive(exceptionMsg))
- 避免使用log.error("{}", e)，改用log.error("Auth failure", e)——这样堆栈进日志，但消息体不带原始异常文本
- 配置Logback或Log4j2的PatternLayout，用%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%ex{0} 控制堆栈只打0层（即不展开）
自定义异常封装敏感操作逻辑
登录失败、支付拒绝、权限校验不通过……这些场景一旦抛出带具体原因的异常，就等于帮攻击者做枚举试探。比如抛出AccountLockedException("Too many failed attempts for user abc@example.com")，对方立刻知道邮箱有效。
立即学习“Java免费学习笔记（深入）”；
- 为不同业务域定义明确的异常类型，如AuthenticationFailureException、PaymentRejectedException
- 所有构造函数禁止接收原始敏感参数，只接受固定提示码或枚举值
- 在catch块中重新包装：throw new AuthenticationFailureException(ErrorCode.LOGIN_FAILED);
- 配合错误码中心，前端根据code查对应友好提示，后端日志里才存详细上下文
切断异常链中的请求上下文污染
第三方SDK（如HTTP客户端、数据库驱动）抛出的异常，常把完整URL、Header、SQL、RequestBody塞进message或cause链。Spring Boot默认的ErrorController会把这些原样吐给/actuator/error。
- 在全局异常处理器中检查e.getCause()，逐层剥离第三方异常，重抛为干净的自定义异常
- 禁用Spring Boot默认错误页：server.error.whitelabel.enabled=false，并配置error.path
- 对FeignClient等远程调用，用ErrorDecoder统一拦截，清除response body中的敏感内容再抛出
- 若用OpenFeign，实现RetryableException时不要把原始IOException.getMessage()透传上去
