控制台隐藏敏感凭证的关键是设为不可枚举属性。使用Object.defineProperty或defineProperties将token等字段的enumerable设为false，使其不显示在console.log展开视图、for...in和Object.keys()中，但仍可正常读写；配合getter可实现动态计算与隐身；同时需规范日志输出，避免显式打印敏感值。

在控制台打印对象时隐藏敏感身份凭证，关键不是“不让打印”，而是让凭证不被自动暴露在 console.log 的默认展开结构里。因为 console.log(obj) 内部会调用类似 Object.keys() 和属性遍历的机制，而 enumerable: false 正是切断这一路径最轻量、最直接的手段。

用 Object.defineProperty 设置不可枚举属性

这是最常用也最稳妥的方式。把 token、secret、apiKey 等字段定义为不可枚举，它们仍可被代码正常读写，但不会出现在控制台的对象展开视图、for...in 或 Object.keys() 中：

• 调用 Object.defineProperty(user, 'token', { value: 'abc123', enumerable: false, writable: true })
• 执行 console.log(user) 时，控制台显示的对象树里不会列出 token 字段
• 但你仍能通过 user.token 获取或赋值，不影响业务逻辑
• 注意：Object.getOwnPropertyNames(user) 和调试器的“查看所有属性”仍能看到它——这属于预期行为，仅防无意暴露

批量配置多个敏感字段（Object.defineProperties）

当对象有多个需隐藏的凭证字段（如 apiKey、refreshToken、sessionKey），用 Object.defineProperties 更清晰高效：

• 一次性定义全部描述符，避免重复写 defineProperty
• 每个字段都设 enumerable: false，还可按需加 writable: false 防误改
• 示例：Object.defineProperties(config, { apiKey: { value: 'live_...', enumerable: false, writable: false }, sessionKey: { value: 'sess_xxx', enumerable: false } })

配合 getter 实现“只读+隐身”的校验凭证

如果某个敏感值需要动态计算或带访问逻辑（比如从加密存储中解密后返回），可用不可枚举的 getter 封装：

• 定义 _decryptedToken 为不可枚举 getter：get _decryptedToken() { return decrypt(this.encrypted); }
• 设置 enumerable: false 后，console.log(user) 不显示该属性名，但 user._decryptedToken 仍可调用
• 外部无法通过遍历发现这个“辅助接口”，又保留了内部使用的灵活性

补充：控制台日志本身也要脱敏

即使属性不可枚举，若你在代码中显式写了 console.log('token:', user.token)，它依然会打印出来。所以还需配合日志规范：

• 禁止在生产环境 console.log 敏感字段的原始值
• 开发阶段可用占位符代替，例如 console.log('token:', '[REDACTED]')
• 团队可统一使用封装的日志工具，自动识别并掩码已知敏感键名（如 token、password、secret）