Gin中间件无法自动脱敏，因其仅接触http.Request/ResponseWriter，缺乏字段语义；安全方式是实现json.Marshaler接口，配合别名类型防递归、指针接收器避panic，并在各出口（HTTP、日志、RPC等）独立控制脱敏。
为什么 Gin 中间件做不了自动脱敏
因为中间件拿到的只是 *http.Request 和 http.ResponseWriter，没有结构体字段语义。它不知道 User.Phone 是手机号，也不知道 Order.IDCard 是身份证号。
常见错误是：在中间件里对所有 string 字段统一替换成 "***" → 昵称、城市名、商品标题全被误杀。
- 中间件无法安全读取响应体：gin 不暴露
c.Writer.Body，且一旦调用WriteHeader或首次Write，数据就已 flush 到 TCP 连接 - 不能依赖
c.Next()后解析 body —— 那时早已不可逆 - 真正可控的入口不是中间件，而是
json.Marshaler接口或显式响应包装
用 json.Marshaler 实现字段级可控脱敏
这是最稳定、类型安全、零额外 GC 的方式。它不改原始数据，只影响最终 JSON 输出，还能响应上下文（如权限、环境）。
必须用指针接收器实现：
立即学习“go语言免费学习笔记（深入）”；
func (u *User) MarshalJSON() ([]byte, error) {
// 防递归关键：定义别名类型
type Alias User
aux := &struct{ *Alias }{Alias: (*Alias)(u)}
// 闭包捕获权限开关（从 context 提前取好）
redactEnabled := isRedactEnabled(u.ctx) // 注意：MarshalJSON 不传 ctx，得提前捕获
if redactEnabled && u.Phone != "" {
aux.Phone = "*** **** ***"
}
return json.Marshal(aux)
}- 值接收器
func (u User) MarshalJSON()会导致嵌套结构体或nil指针 panic - 脱敏值禁用空字符串：若字段带
json:",omitempty"，脱敏后为空就会整个字段消失；建议用"[REDACTED]"或固定掩码 - 别名类型
type Alias User是防递归调用自身的唯一可靠方式
HTTP 响应必须包装 ResponseWriter
想在 HTTP 层做脱敏，唯一可行路径是替换 c.Writer，重写 Write([]byte) 和 WriteHeader(int)。
- 仅对
Content-Type: application/json处理，其他类型（如text/html、application/octet-stream）直通，避免破坏静态资源或下载流 - 推荐用
json.Decoder.Token()流式匹配 key 路径（如user.phone），而非全量json.Unmarshal，减少内存与 GC 压力 - gin 的
Context.JSON无法直接 hook，得替换为自定义方法，比如c.SecureJSON(code, data)
日志、配置、RPC 出口必须各自独立脱敏
敏感信息不能靠“不打印”来隐藏，必须在每个出口点显式控制 —— 日志、HTTP 响应、gRPC 序列化、panic 堆栈、调试输出，混用一套逻辑必然漏脱。
- zap 日志：结构体需实现
zapcore.ObjectMarshaler，字段必须导出（Password string，非password string），避免未判空解引用导致 panic - 配置加载：用
mapstructure.DecodeHookFunc在反序列化过程中拦截，而不是viper.Unmarshal后补救 —— 敏感字段早已明文驻留内存 - 请求体日志：读
r.Body后要用bytes.NewReader重设，并同步更新r.ContentLength和Content-Lengthheader，否则后续 binding 可能失败
最易被忽略的是：脱敏不是一次性的“打马赛克”，而是在每个数据出口处做显式、有上下文判断的转换 —— 字段还在内存里，只是不同出口看到的内容不同。
