如何为Spring Boot应用实现K8s与Kibana日志敏感信息的开关式隐显切换

给你几个可行的实现方案，按需选择：

方案一：增强自定义布局，通过开关动态控制掩码 #

你可以修改现有的PatternMaskingLayout，添加开关属性来控制是否执行掩码逻辑，这样原始日志会被保留，仅在输出时根据开关决定是否显示掩码后内容。

实现步骤： #

1. 修改自定义PatternMaskingLayout类，添加开关属性并从配置读取：

public class PatternMaskingLayout extends PatternLayout {
    private boolean isMaskEnabled = true;
    private List<String> maskPatterns = new ArrayList<>();

    public void setMaskPattern(String maskPattern) {
        maskPatterns.add(maskPattern);
    }

    public void setIsMaskEnabled(boolean isMaskEnabled) {
        this.isMaskEnabled = isMaskEnabled;
    }

    @Override
    public String doLayout(ILoggingEvent event) {
        String originalLog = super.doLayout(event);
        if (!isMaskEnabled) {
            // 开关关闭，直接返回原始日志
            return originalLog;
        }
        // 开关开启，执行掩码逻辑
        String maskedLog = originalLog;
        for (String pattern : maskPatterns) {
            maskedLog = maskedLog.replaceAll(pattern, "creditCard=****");
        }
        return maskedLog;
    }
}

2. 在logback配置中绑定开关属性，支持外部配置（比如Spring环境变量）：

<appender name="STDOUT" class="ch.qos.logback.core.ConsoleAppender">
    <encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
        <layout class="com.bpcbt.micro.utils.PatternMaskingLayout">
            <maskPattern>creditCard=\d+</maskPattern>
            <isMaskEnabled>${log.mask.enabled:true}</isMaskEnabled>
            <pattern>%d{dd/MM/yyyy HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n%ex</pattern>
        </layout>
    </encoder>
</appender>

3. 在Spring Boot的application.yml中配置开关，支持通过环境变量动态切换：

logging:
  mask:
    enabled: ${IS_MASK_ENABLED:true}

调试时只需设置环境变量IS_MASK_ENABLED=false，就能输出原始敏感信息；生产环境保持true即可隐藏敏感内容。

方案二：双Appender条件配置 #

配置两个Appender，一个负责输出掩码后日志，一个输出原始日志，通过logback的条件配置根据开关选择启用哪个Appender。

实现步骤： #

1. 在logback-spring.xml中定义两个Appender：

<!-- 带掩码的Appender -->
<appender name="STDOUT_MASKED" class="ch.qos.logback.core.ConsoleAppender">
    <encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
        <layout class="com.bpcbt.micro.utils.PatternMaskingLayout">
            <maskPattern>creditCard=\d+</maskPattern>
            <pattern>%d{dd/MM/yyyy HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n%ex</pattern>
        </layout>
    </encoder>
</appender>

<!-- 原始日志Appender -->
<appender name="STDOUT_RAW" class="ch.qos.logback.core.ConsoleAppender">
    <encoder>
        <pattern>%d{dd/MM/yyyy HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n%ex</pattern>
    </encoder>
</appender>

2. 使用logback的条件配置选择启用的Appender：

<root level="info">
    <if condition='property("log.mask.enabled") == "true"'>
        <then>
            <appender-ref ref="STDOUT_MASKED"/>
        </then>
        <else>
            <appender-ref ref="STDOUT_RAW"/>
        </else>
    </if>
</root>

3. 同样通过Spring的外部配置控制开关，和方案一的application.yml配置一致即可。

方案三：基于日志级别的动态掩码（适合调试场景） #

如果调试场景仅使用DEBUG级别日志，可以让DEBUG级别输出原始内容，其他级别自动掩码，无需单独开关（也可结合开关增强）。

修改PatternMaskingLayout的doLayout方法：

@Override
public String doLayout(ILoggingEvent event) {
    String originalLog = super.doLayout(event);
    // DEBUG级别输出原始日志，其他级别掩码（可结合isMaskEnabled开关）
    if (event.getLevel() == Level.DEBUG && !isMaskEnabled) {
        return originalLog;
    }
    // 执行掩码逻辑
    String maskedLog = originalLog;
    for (String pattern : maskPatterns) {
        maskedLog = maskedLog.replaceAll(pattern, "creditCard=****");
    }
    return maskedLog;
}

这样开发者调试时只需开启DEBUG级别日志，就能看到原始敏感信息，生产环境用INFO及以上级别自动隐藏。

内容的提问来源于stack exchange，提问作者Martian Aura