Azure Function调用外部API时ApiKey泄露至App Insights日志，如何隐藏？

数据老陈

2026-7-23

解决Azure Function请求头ApiKey泄露到App Insights Trace日志的问题

1. 精准细化日志类别配置

只设置Default/System/Microsoft的Warning级别还不够，有些负责HTTP请求日志的子组件还是会输出详细内容。可以在appsettings.json里加更具体的日志级别控制：

"Logging": {
  "LogLevel": {
    "Default": "Warning",
    "System": "Warning",
    "Microsoft": "Warning",
    // 彻底关掉HttpClient相关组件的请求日志
    "System.Net.Http": "None",
    "Microsoft.Extensions.Http": "None",
    // 禁止Azure Functions的HttpRequestLogger记录请求头细节
    "Microsoft.Azure.WebJobs.Http.HttpRequestLogger": "None"
  }
}

2. 添加日志过滤规则屏蔽敏感字段

用日志过滤器直接拦截包含ApiKey的日志，或者对指定字段做掩码处理：

"Logging": {
  "Filters": {
    "ApiKeyFilter": {
      "Type": "Microsoft.Extensions.Logging.Filters.LoggerFilterOptions",
      "Arguments": {
        "Filter": "Contains('ApiKey')",
        "LogLevel": "None"
      }
    }
  }
}

3. 代码层面别直接记录敏感请求头

如果你的代码里自己打了请求日志，记得先剔除ApiKey头再记录，别直接输出整个request对象：

// 示例：调用外部API时的日志处理
var request = new HttpRequestMessage(HttpMethod.Post, "https://external-api.com");
request.Headers.Add("ApiKey", "your-sensitive-key");

// 只记录非敏感信息，比如请求URL就行
_logger.LogWarning("Calling external API at {Url}", request.RequestUri);

// 发送请求
var response = await _httpClient.SendAsync(request);