唯一安全可控路径是结构体实现json.Marshaler接口；中间件字符串替换会破坏JSON结构、误杀内容、触发多Header错误且不支持流式响应，因c.Writer非缓冲区、字节直推TCP。
在 Gin 微服务中做响应脱敏，唯一安全、可控、可测试的路径是让结构体实现 json.MarshalJSON 接口；所有试图在中间件里对 c.Writer 做字符串替换或正则清洗的操作，都会破坏 JSON 结构、误杀字段名、触发 http: multiple response.WriteHeader calls 错误，且对流式响应（如 SSE）完全失效。
为什么不能在 Gin 中间件里替换响应体字符串
因为 c.Writer 是一个写入接口，不是缓冲区。Gin 默认不缓存响应体，c.JSON() 调用后字节直接推到 TCP 连接，中间件无法读取原始 JSON 字节流。常见错误包括：
- 试图调用
c.Writer.Body.String()——gin.ResponseWriter根本不暴露Body字段 - 用
strings.ReplaceAll(c.Writer, "13912345678", "139****5678")—— 会把 URL、错误码、嵌套 JSON 的引号和转义符全干掉 - 对
text/html或application/octet-stream类型也做处理 —— 导致静态资源或文件下载损坏
用 json.Marshaler 实现字段级脱敏
这是 Gin 项目中最稳定、零运行时反射开销、类型安全的方式。它不改原始数据，只影响最终 JSON 输出，天然兼容 XML、YAML 等格式。关键点：
- 必须用指针接收器：
func (u *User) MarshalJSON() ([]byte, error)，否则嵌套结构体或 nil 指针会 panic - 防递归必须定义别名：
type UserAlias User，再用(*UserAlias)(u)调用原生json.Marshal - 脱敏值不能是空字符串 —— 若字段带
json:",omitempty"，空串会让整个字段消失；建议用"*** **** ***"或"[REDACTED]" - 权限判断靠闭包捕获，比如
redactEnabled := isRedactForRole(c.MustGet("role").(string))，不能往方法签名里塞context.Context
结构体 tag 控制脱敏开关与规则
别指望中间件自动识别“手机号”或“身份证”，必须显式声明。推荐自定义 tag，例如：
type User struct {
ID uint `json:"id"`
Name string `json:"name"`
Phone string `json:"phone" redact:"mask:4"`
Email string `json:"email" redact:"email"`
}
解析逻辑可封装为通用函数，配合反射或 go:generate 生成静态脱敏方法。避免用第三方“自动扫描 tag 脱敏”库，它们往往只处理 json tag，对 form、query、header 无能为力。
日志与响应脱敏必须分开处理
HTTP 响应脱敏走 json.Marshaler，日志脱敏走另一套机制：
- zap 日志：结构体需实现
zapcore.ObjectMarshaler，且字段必须导出（Password string，非password string） - zerolog 日志：用
InterfaceHook+SanitizeMap，只匹配键名（"password"、"api_key"），不碰值内容，且需递归处理嵌套map - 请求参数日志：在中间件里用
c.ShouldBindQuery()或c.ShouldBindJSON()提前解析并脱敏，再存入c.Set("safe_log_fields", ...)，避免直接log.Printf("%+v", req)
最常被忽略的一点：脱敏逻辑必须收口在 DTO 层或 handler 构建响应阶段，绝不能塞进 DAO 或 SQL 查询里 —— 否则缓存命中时绕过 DAO 就漏脱敏，单元测试也测不到行为。
