最稳的数据脱敏方式是用指针接收器实现json.Marshaler接口，精准控制字段级序列化逻辑，避免字符串替换、反射和正则回溯风险，兼顾类型安全与零额外GC。
用 json.Marshaler 控制序列化时的脱敏行为
Go 里最稳的数据脱敏方式，就是让结构体自己决定怎么被转成 JSON，而不是等序列化完再字符串替换。这能避免破坏 JSON 结构、漏字段、panic 等线上高频问题。
关键点在于必须用指针接收器实现 MarshalJSON 方法，否则嵌套字段或 nil 指针无法被正确处理；也不能手动拼 "{" 和 "}"，得走 json.Encoder 或 map[string]interface{} 中转，否则引号、转义、空值都会出错。
-
func (u *User) MarshalJSON() ([]byte, error)—— 必须是*User，不是User - 敏感字段如
Phone、IDCard在方法内做掩码，原始值不变，不影响业务逻辑 - 非敏感字段直接透传，用
json.Marshal(u)获取原始字节再 patch，别重复写序列化逻辑 - 如果字段带
omitempty标签，脱敏后变空字符串会导致整个字段消失，需提前判断并保留键
HTTP 日志脱敏必须在字节流层面完成
请求和响应日志不能等 json.Unmarshal 后再处理 —— 那会丢嵌套字段、破坏转义、且高并发下容易 panic。必须在 io.ReadCloser 层面拦截并重放 body。
常见错误是调用 httputil.DumpRequestOut(req, true) 后，后续 json.NewDecoder(req.Body) 读到空内容。这是因为 body 已被消费一次，必须手动重放。
立即学习“go语言免费学习笔记（深入）”；
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
- 先
bodyBytes, _ := io.ReadAll(req.Body)，再req.Body = io.NopCloser(bytes.NewReader(bodyBytes)) -
DumpResponse第二个参数设为false，跳过响应体 dump，防止大文件阻塞 -
Authorization和Cookie头必须单独提取：用strings.HasPrefix(auth, "Bearer ")判断类型，掩码为"Bearer ***"；Cookie要用http.ParseCookie解析后再逐 key 判断 - 脱敏后保留 header 原格式，比如
"Cookie: user=abc; token=***; theme=dark"，别删整行
panic 信息脱敏要绕过 fmt.Sprint 的默认行为
Go 的 panic 默认调用 fmt.Sprint 打印值，而 fmt.Sprint 不走 String() 方法，也不识别 struct tag。如果 panic 值是含手机号、token 的 struct，这些字段就直接裸奔进日志了。
解决办法不是 recover 后再过滤，而是从源头控制 panic 值的类型 —— 用自定义 error 封装，把敏感字段标记出来，在 Error() 方法里统一掩码。
- 定义
SafeError类型，对敏感字段加redact:"true"tag（或其他约定） -
Error()方法里调用redactString()处理标记字段，其他字段正常拼接 - 触发异常时用
panic(&SafeError{...})，不是panic(user) - 顶层
recover时只处理*SafeError，其余 panic 按原逻辑上报（如 Sentry）
regexp 脱敏极易触发指数级回溯导致 OOM
用正则做字段匹配脱敏，看似简单，实则高危。尤其遇到长文本 + .*? 这类模糊模式时，Go 默认的回溯引擎可能吃掉几百 MB 内存，一条日志就能让服务 OOM。
真实案例：2000 字符地址字段触发 runtime: out of memory。这不是小概率事件，而是确定性风险。
- 禁用
.*、.+，改用明确字符集，例如用[0-9]{11}匹配手机号，而非.*1[3-9]\d{9}.* - 对输入长度硬限制：
if len(data) > 5000 { return err }，避免传入 HTML 片段或日志块 - 固定格式字段优先用
strings.ReplaceAll或bytes.ReplaceAll，比正则快 3–5 倍且无回溯风险 - 中文姓名、身份证号等需用
rune计数，不能用len()，否则 UTF-8 字节长度会误判
MaskPhone 函数，而是确保它在 HTTP body、panic 日志、RPC 响应、甚至第三方库返回的 map 里都生效。每个环节的脱敏机制不同，不能靠一个函数打天下。最容易被忽略的是嵌套结构体的 MarshalJSON 不会自动递归触发，以及 omitempty 导致脱敏后字段消失 —— 这些细节不处理，上线后就会漏数据。 
