Spring项目中Logback屏蔽请求体敏感字段的最优方案咨询

你遇到的是Spring内置日志工具LogFormatUtils打印请求体时，输出DTO明文密码的问题，以下是几种比正则替换更优雅的高效方案：

1. 注解标记+自定义toString()（轻量直接） #

这是小型项目最省心的方案，直接在DTO层控制日志输出内容：

• 先定义一个标记敏感字段的注解：

@Target(ElementType.FIELD)
@Retention(RetentionPolicy.RUNTIME)
public @interface Sensitive {
}

• 给CredentialDTO的密码字段加注解，并重写toString()方法，自动屏蔽敏感字段：

public class CredentialDTO {
    private String username;
    @Sensitive
    private String password;

    // getter、setter省略

    @Override
    public String toString() {
        StringBuilder sb = new StringBuilder("CredentialDTO(");
        Field[] fields = this.getClass().getDeclaredFields();
        for (Field field : fields) {
            field.setAccessible(true);
            try {
                sb.append(field.getName()).append("=");
                sb.append(field.isAnnotationPresent(Sensitive.class) ? "***" : field.get(this));
                sb.append(", ");
            } catch (IllegalAccessException e) {
                sb.append("unknown");
            }
        }
        if (sb.length() > 13) sb.setLength(sb.length() - 2);
        sb.append(")");
        return sb.toString();
    }
}

这样LogFormatUtils打印时会调用DTO的toString()，自动把密码替换成***，完全不需要改动日志配置。

2. 自定义Jackson消息转换器（全局生效） #

如果多个DTO都有敏感字段，不想逐个重写toString()，可以全局配置消息转换器，在序列化请求体时自动屏蔽：

• 自定义Jackson模块，识别@Sensitive注解并替换内容：

public class SensitiveModule extends SimpleModule {
    public SensitiveModule() {
        addSerializer(String.class, new SensitiveSerializer());
    }

    private static class SensitiveSerializer extends StdSerializer<String> {
        public SensitiveSerializer() {
            super(String.class);
        }

        @Override
        public void serialize(String value, JsonGenerator gen, SerializerProvider provider) throws IOException {
            try {
                String fieldName = gen.getOutputContext().getCurrentName();
                Class<?> dtoClass = gen.getOutputContext().getCurrentValue().getClass();
                Field field = dtoClass.getDeclaredField(fieldName);
                if (field.isAnnotationPresent(Sensitive.class)) {
                    gen.writeString("***");
                    return;
                }
            } catch (NoSuchFieldException ignored) {}
            gen.writeString(value);
        }
    }
}

• 注册到Spring的Web配置中：

@Configuration
public class WebConfig implements WebMvcConfigurer {
    @Override
    public void configureMessageConverters(List<HttpMessageConverter<?>> converters) {
        MappingJackson2HttpMessageConverter converter = new MappingJackson2HttpMessageConverter();
        ObjectMapper objectMapper = new ObjectMapper();
        objectMapper.registerModule(new SensitiveModule());
        converter.setObjectMapper(objectMapper);
        converters.add(0, converter);
    }
}

之后所有带@Sensitive注解的字段，在Spring解析请求体并日志打印时都会被自动屏蔽。

3. AOP拦截日志格式化（无侵入业务代码） #

如果不想改动DTO或消息转换器，可以用AOP直接拦截LogFormatUtils的日志生成过程：

• 定义切面，拦截LogFormatUtils.formatValue方法（这个方法负责格式化请求体日志）：

@Aspect
@Component
public class SensitiveLogAspect {
    @Around("execution(* org.springframework.core.log.LogFormatUtils.formatValue(..))")
    public Object aroundLogFormat(ProceedingJoinPoint joinPoint) throws Throwable {
        Object[] args = joinPoint.getArgs();
        if (args != null && args[0] instanceof CredentialDTO) {
            CredentialDTO original = (CredentialDTO) args[0];
            // 创建安全拷贝对象替换原对象，避免影响业务逻辑
            CredentialDTO safeDto = new CredentialDTO();
            safeDto.setUsername(original.getUsername());
            safeDto.setPassword("***");
            args[0] = safeDto;
        }
        return joinPoint.proceed(args);
    }
}

这种方式完全不侵入业务代码，只在日志层面做替换，适合需要精准控制日志输出的场景。

方案选型建议 #

• 小型单DTO场景：选注解+toString()，实现最快，无额外配置
• 多DTO全局场景：选自定义消息转换器，一次配置全项目生效
• 无侵入需求场景：选AOP拦截，不改动业务代码，灵活度高

内容的提问来源于stack exchange，提问作者Harchi