如何阻止Flyway记录失败SQL及敏感占位符值？

问题场景 #

用Flyway执行带敏感占位符的SQL迁移时，一旦SQL执行出错，Flyway会把填充了敏感值的完整SQL语句输出到日志中，导致敏感信息泄露。例如：

---

SQL State : 42601
Error Code : 0
Message : ERROR: unrecognized role option "login22"
Position: 30
Location : ...
Line : 1
Statement : CREATE ROLE test_marcin with LOGIN22 PASSWORD 'secret-password-value'

可行解决思路 #

1. 给日志加过滤脱敏 #

Flyway基于SLF4J实现日志输出，可直接在日志框架（Logback/Log4j2）中配置过滤规则，对敏感内容进行脱敏：

• 针对Logback：在logback.xml中添加自定义过滤器，匹配包含Statement :和敏感关键词（如PASSWORD）的日志行，替换敏感值

  <filter class="ch.qos.logback.core.filter.EvaluatorFilter">
    <evaluator>
      <expression>message.contains("Statement :") &amp;&amp; message.contains("PASSWORD")</expression>
    </evaluator>
    <onMatch>NEUTRAL</onMatch>
    <onMismatch>ACCEPT</onMismatch>
    <replacer>
      <pattern>Statement : ${replaceFirst(message, "PASSWORD '.*?'", "PASSWORD '[REDACTED]'")}</pattern>
    </replacer>
  </filter>
  

• 针对Log4j2：使用RewriteAppender结合自定义重写策略，实现敏感字段的脱敏处理。

2. 用Flyway回调改写日志输出逻辑 #

编写自定义类实现FlywayCallback接口，在SQL执行前缓存带占位符的原始SQL语句；当语句执行失败时，覆盖Flyway默认的错误日志输出逻辑，使用缓存的原始SQL替代填充了敏感值的语句。

3. 避免在SQL中直接使用敏感占位符 #

改用数据库侧的安全方式传递敏感信息：

• 利用数据库环境变量（如PostgreSQL的PGPASSWORD）传递敏感值，不在SQL语句中显式写入。
• 替换为Java迁移脚本，通过Java代码处理敏感数据并执行数据库操作，避免SQL日志泄露敏感信息。

4. 临时应急：调整日志级别 #

将Flyway的日志级别从DEBUG/INFO调整为WARN或ERROR，但此方法会丢失大部分迁移细节，仅适合临时应急场景。

注意事项 #

• 日志过滤规则需覆盖所有可能输出敏感信息的Flyway内部日志类（如SqlScriptExecutor）。
• 使用回调或Java迁移时，需确保代码与当前使用的Flyway版本兼容，避免调用废弃API。

内容的提问来源于stack exchange，提问作者Marcin Majewski