不能用 log.Printf 直接拼接敏感字段，因为其会提前将明文固化在内存中，违背“源头不暴露”原则；应使用高阶函数（如 func(string) string）在参数构造阶段完成脱敏，确保敏感值从不以明文形式参与日志格式化。
为什么不能用 log.Printf 直接拼接敏感字段
因为 log.Printf 或 fmt.Sprintf 一执行，敏感值就固化成字符串了——哪怕后续加中间件、正则替换或后端过滤，原始明文早已在内存里驻留过。审计不认“落地后再擦”，只认“从源头就不明文”。高阶函数在这里不是炫技，而是把脱敏逻辑提前到参数构造阶段，避免值被提前格式化。
用高阶函数封装脱敏逻辑：func(string) string 类型的 cleanFn
核心是把脱敏行为抽象为可传入、可组合、可测试的函数。比如手机号、邮箱、token 各自独立规则，不混写在日志语句里：
var (
phoneClean = func(s string) string {
r := regexp.MustCompile(`^1[3-9]\d{9}$`)
if !r.MatchString(s) {
return s
}
return s[:3] + "****" + s[7:]
}
tokenClean = func(s string) string {
if len(s) > 10 {
return "[REDACTED]"
}
return s
}
)
使用时直接传入日志构造环节：
slog.Info("user login",
"sms_code", smsCode,
"phone", phoneClean(user.Phone),
"token", tokenClean(user.Token),
)
- 每个
cleanFn只处理自己负责的字段类型，不碰结构体、不递归、不依赖反射，快且确定 - 禁止把
cleanFn写成闭包捕获上下文（如func() string），否则无法复用、难测、易泄漏引用 - 不要在
cleanFn里 panic —— 日志本身不该因脱敏失败而中断，应返回原值或固定占位符
如何让高阶函数自动适配结构体字段
手动调每个字段太重，可以用一个通用包装器，把结构体字段名映射到对应 cleanFn：
立即学习“go语言免费学习笔记（深入）”；
type FieldCleaner map[string]func(string) string
func (fc FieldCleaner) Clean(v interface{}) interface{} {
rv := reflect.ValueOf(v)
if rv.Kind() == reflect.Ptr {
rv = rv.Elem()
}
if rv.Kind() != reflect.Struct {
return v
}
out := make(map[string]interface{})
for i := 0; i < rv.NumField(); i++ {
field := rv.Type().Field(i)
value := rv.Field(i)
if !value.CanInterface() {
continue
}
key := strings.ToLower(field.Name)
if clean, ok := fc[key]; ok && value.Kind() == reflect.String {
out[field.Name] = clean(value.String())
} else {
out[field.Name] = value.Interface()
}
}
return out
}
用法示例：
cleaner := FieldCleaner{
"phone": phoneClean,
"token": tokenClean,
}
slog.Info("login", "user", cleaner.Clean(user))
- 只对导出字段（首字母大写）生效；小写字段会被跳过
- 不处理嵌套结构体，也不做深度递归——这是有意设计：复杂结构应显式拆解，而非靠黑盒扫描
- 如果字段值是
nil或非string类型，直接透传，不尝试转换
和 slog.LogValuer 的关键区别在哪
两者都能实现运行时脱敏，但定位不同：slog.LogValuer 是类型级契约，适合长期复用的敏感类型（如 SensitiveToken）；而高阶函数是字段级策略，适合临时、多变、按业务规则切换的脱敏场景。
-
LogValuer要求你定义新类型，且必须是值接收者（func(t SensitiveToken) LogValue()），不能对*string直接实现 - 高阶函数不改类型定义，也不侵入业务 struct，更适合灰度开关、AB 测试、环境差异化脱敏（如 dev 打明文、prod 强制遮蔽）
- 混合用最稳：struct 字段用
LogValuer封装核心敏感域（如密码），其余字段用高阶函数按需清洗
真正容易被忽略的是：无论用哪种方式，都得确保日志字段是显式传入的，而不是把整个 user 结构体丢给 slog.Any 或 zap.Any —— 那样所有脱敏逻辑都失效。
