Gin中间件无法可靠脱敏，因它不感知结构体字段语义且无法干预json.Marshal；真正落地需控制序列化入口、日志输出和配置加载三处出口。
在 Gin 中用中间件做“自动脱敏”是行不通的——它根本看不到结构体字段语义，也没法干预 json.Marshal 过程。真正能落地的深度脱敏，必须绕过中间件幻想，直接控制序列化入口、日志输出和配置加载这三处关键出口。
为什么 Gin 中间件无法可靠脱敏
中间件拿到的是 *http.Request 和 http.ResponseWriter，不是 User 或 Order 结构体。它既不知道 User.Phone 是手机号，也不知道 Order.IDCard 是身份证号。
- 常见错误：在中间件里对响应体做正则替换，比如把所有 11 位数字替成
"***"→ 用户昵称“12345678901”、订单号“12345678901”全被误杀 - 更严重的问题：Gin 默认不缓存响应体，
c.Writer.WriteHeader()一调用，状态码和字节就直接发到 TCP 连接，中间件再也读不到原始 JSON - 即使强行包装
ResponseWriter，也只对Content-Type: application/json有效；其他类型（如text/html、文件下载）必须直通，否则会破坏静态资源
用 json.Marshaler 接口实现字段级可控脱敏
这是唯一能兼顾精度、性能和嵌套支持的方式。它发生在序列化前一刻，原始数据仍在内存中，且不依赖反射。
Golang Google Wire
下载
在 Go 中使用 google/wire 实现编译时依赖注入——wire.NewSet、wire.Build、wire.Bind（接口→实现）、wire.Struct、wire.Value、wire.Interface
- 必须用指针接收器：
func (u *User) MarshalJSON() ([]byte, error)，否则nil指针或嵌套结构体（如u.Profile.Phone）会 panic 或无限递归 - 防递归要定义别名类型：
type userAlias User，再用(*userAlias)(u)转换，避免MarshalJSON再次调用自身 - 脱敏值不能设为空字符串：若字段带
json:",omitempty"，脱敏后为空就会整个 key 消失；建议统一用"[REDACTED]"或固定掩码如"*** **** ***" - 权限判断不能塞进方法签名（
json.Marshal不传context.Context），得靠闭包捕获，比如redactEnabled := isRedactEnabled(c.Request.Context())后在闭包内使用
日志与配置加载阶段同样要独立脱敏
HTTP 响应脱敏了，不代表敏感信息就安全了。fmt 打印、slog 记录、viper 加载配置时，struct tag 全无效，必须各自拦截。
立即学习“go语言免费学习笔记（深入）”；
-
fmt.Printf类输出：实现fmt.Formatter接口，让%v、%+v返回脱敏结果；未实现时同包内小写字段照样可被反射读取 -
slog.Info日志：Go 1.21+ 必须单独实现slog.Valuer，否则slog.Info("login", "pwd", pwd)仍原样打出来 - zap 日志：需实现
zapcore.ObjectMarshaler，且字段必须导出（Password string，不能是password string）；嵌套深时优先显式调用enc.AddString("token", "[REDACTED]") - 配置加载：viper.Unmarshal 后补救已晚，敏感字段（如
database.password）早已明文驻留内存；应在mapstructure.DecodeHookFunc阶段按 key 路径拦截
脱敏不是加个中间件就能一劳永逸的事。每个数据出口（HTTP、日志、配置、RPC、调试打印）都要有对应策略，且不能共享同一套逻辑——HTTP 响应里要保留 key，日志里可能要整字段过滤，配置加载时甚至要阻止字段进入内存。最易被忽略的是：没实现 slog.Valuer 的密码字段，会在 slog.Info 里原样暴露；没加 go:generate 生成静态方法的高频结构体，每次请求都反射遍历，性能直接掉 10 倍。
