Jackson序列化层脱敏是最优方案，基于自定义JsonSerializer和注解，在对象转JSON阶段精准脱敏，业务零侵入、性能高、支持嵌套且全局统一。
敏感信息不能靠“不打印”来隐藏，必须在数据流每个出口点做显式控制——日志、HTTP响应、RPC序列化、调试输出，各自要独立处理，混用一套逻辑必然漏脱。
struct tag 控制 JSON 序列化时字段忽略
最轻量、最常用的方式是用 json:"-" 或 json:"password,omitempty" 让字段不出现在响应体里。但这只解决“不传出去”，不解决“内部泄露”。
- 别把
json:"-"当成安全手段：它不影响fmt.Printf、slog.Info、数据库写入或内存 dump -
omitempty和脱敏值冲突时字段会消失：比如手机号脱敏成""，又带omitempty，前端就收不到该 key；建议改用占位符如"***"或去掉omitempty - 嵌套结构体里同样生效：只要字段上有 tag，
json.Marshal就尊重它，无需额外中间件
实现 json.Marshaler 接口做可控脱敏
真正需要动态控制（比如按角色返回不同精度）时，json.Marshaler 是唯一可靠出口。它发生在序列化前一刻，原始数据仍完整保留在结构体内。
- 必须用指针接收器：
func (u *User) MarshalJSON() ([]byte, error)，否则 nil 指针 panic，嵌套时也易递归调用自身 - 防递归要定义别名类型：
type userAlias User，再匿名嵌入：aux := &struct{ userAlias }{userAlias: userAlias(*u)} - 脱敏开关别硬编码：从
context.Context读取权限标识，或通过闭包捕获配置项，避免编译期固化 - 别手动拼 JSON 字符串：用
json.Marshal(aux)或json.NewEncoder，否则引号、转义、nil map全崩
用 fmt.Formatter 和 slog.Valuer 拦截调试与日志输出
开发中最容易翻车的不是接口响应，而是 fmt.Println(u) 或 slog.Info("login", "user", u) —— 这些地方 struct tag 完全无效。
立即学习“go语言免费学习笔记（深入）”；
-
fmt.Formatter拦所有fmt系列输出：实现后%v、%+v、Println全部返回"" -
slog.Valuer是 Go 1.21+ 日志专用：slog 不走 fmt，必须单独实现，否则slog.Info("xxx", "pwd", pwd)仍原样打出来 - 敏感字段建议用自定义类型封装：
type Password string，而非直接放string字段，便于统一拦截 - unexported 字段（小写）不防泄露：同包内
fmt照样能打，反射也能读，别迷信访问控制
Gin 中避免中间件全局字符串替换
有人想在 Gin 中间件里读取 ResponseWriter 的 []byte 做正则替换，这是高危操作：破坏 JSON 结构、误杀正常字段、触发 http: multiple response.WriteHeader calls 错误。
- 禁止对已序列化的
[]byte做字符串替换：JSON 里可能有"phone":"138****1234"，也可能有"note":"用户手机号已更新"，正则根本分不清 - 正确做法是替换
c.Render：定义SensitiveJSON{Data: user}类型，实现Render()方法，在json.Marshal后扫描sensitive:tag 再处理 - 业务 handler 改为
c.Render(200, SensitiveJSON{Data: user})，而非c.JSON(200, user)，作用域清晰、不干扰其他中间件 - Content-Type 必须检查：
if ct := c.Writer.Header().Get("Content-Type"); ct != "application/json" { ... }，避免 HTML 或二进制流被误处理
最易被忽略的是：同一敏感字段在不同上下文要不同处理——日志里打 "******"，HTTP 响应里掩码为 "138****1234"，RPC 传输中则 AES 加密。它们不该共享一个“脱敏函数”，而应各自在出口点做适配。
