Apache不支持自动识别脱敏敏感字段，需分层设计：源头控制（禁用含敏URI、省略查询串、禁录敏感头）、运行时标记脱敏、落地后正则清洗，并协同应用层前置脱敏。
Apache 本身不提供自动识别和替换手机号、身份证号、密码等敏感字段的能力，日志清洗与脱敏必须分层设计：在日志生成阶段控制源头，在落盘后通过工具或脚本做二次处理，最终确保“可用不可见”。合规核心是落实《数据安全法》《个人信息保护法》中的最小必要、去标识化原则。
从源头控制：避免敏感数据进日志
这是最高效、最可靠的脱敏方式。Apache 默认不会记录 POST 请求体或 Cookie 内容，但会原样记录请求 URI（含 query string）、Referer、User-Agent 和自定义头。关键操作包括：
- 禁用含敏感参数的 URI 记录：用 SetEnvIf 匹配并排除整条日志，例如：
SetEnvIf Request_URI "(pwd=|password=|token=|auth=|id_card=|phone=)" no_logCustomLog /var/log/apache2/access.log combined env=!no_log - 不使用
%r（完整请求行），改用分解格式如%m %U%q %H，并显式省略%q（查询字符串）；若必须保留路径，可只记%U（不含参数的 URI） - 禁止记录敏感请求头：不在
LogFormat中写%{Cookie}i、%{Authorization}i、%{X-Forwarded-For}i（除非已做可信代理校验）
运行时动态脱敏：用 mod_rewrite 标记 + 自定义日志格式
对无法完全过滤的场景（如部分参数需保留用于调试），可在请求解析阶段做标记，再映射为脱敏占位符：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 用 RewriteCond 检测 query string 中的
phone=或id=，设置环境变量：RewriteCond %{QUERY_STRING} (?:^|&)phone=(\d{11})(&|$)RewriteRule .* - [E=phone_redacted:1] - 定义新 LogFormat，将环境变量转为固定值：
LogFormat "%h %l %u %t \"%m %U\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %{phone_redacted}e" masked_combined
此时日志中该字段显示为1或空，而非真实号码
落地后清洗：结构化提取 + 正则脱敏
当日志已生成且含敏感内容（如历史日志、调试开启期间的日志），需离线清洗。推荐用 Python 或 awk 实现批量处理：
- 用正则匹配并掩码常见敏感模式：
手机号：re.sub(r'1[3-9]\d{9}', '1XXXXXXXXXX', line)
邮箱：re.sub(r'\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b', 'xxx@xxx.com', line) - 不直接修改原始日志，而是输出脱敏副本，并保留原始文件加密归档（满足审计溯源要求）
- 对每行解析后判断字段语义：例如第 5 字段为 request line，再对其 query 部分单独做 key-value 拆解，仅对
user_id、mobile等键对应的 value 脱敏，避免误伤路径或协议名
协同应用层：把脱敏责任前移到业务代码
Apache 是边界网关，不是业务逻辑层。真正可控的脱敏应在上游完成：
- 后端 API 在打日志前，统一调用脱敏工具类（如 Log4j2 的 RewriteAppender）处理 request 参数、header、response body
- 前端提交敏感字段时，先做前端哈希或令牌化（如用临时 token 替换真实手机号），服务端日志只记录 token
- 所有对外暴露的接口响应中，禁止返回明文身份证、银行卡号等，Apache 日志自然也就不会捕获到
