如何排除Simple POJO中的敏感字段（如密码）不被各类日志记录？

一、应用层日志屏蔽（源头控制） #

这是最核心的环节，从日志生成的源头避免敏感字段输出，后续日志系统自然不会捕获到相关内容。

1. 重写POJO的toString()方法 #

直接在User类中重写toString()方法，主动排除password字段：

class User implements Serializable{
    String name;
    @Transient
    String password;
    String text;
    String address;

    @Override
    public String toString() {
        return "User{" +
                "name='" + name + '\'' +
                ", text='" + text + '\'' +
                ", address='" + address + '\'' +
                '}';
    }
}

当你调用LOGGER.info("User details {}", userReqPayload)时，日志只会输出不含密码的对象信息。

2. 日志框架级全局过滤 #

如果使用Logback/SLF4J，可通过自定义转换器实现全局敏感字段掩码：

• 编写MaskConverter类，在日志输出时自动将password字段值替换为***
• 在Logback配置中注册转换器并应用到日志格式

示例Logback配置片段：

<conversionRule conversionWord="mask" converterClass="com.yourpackage.MaskConverter"/>
<appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender">
    <encoder>
        <pattern>%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %mask(%msg)%n</pattern>
    </encoder>
</appender>

二、Logstash层面屏蔽 #

若应用日志存在漏网情况，可在Logstash处理阶段拦截敏感字段：

1. 直接移除敏感字段 #

在Logstash的filter阶段配置：

filter {
    mutate {
        remove_field => ["password"]
    }
}

2. 掩码替换字段内容 #

如果需要保留字段但隐藏实际值：

filter {
    mutate {
        replace => { "password" => "***" }
    }
}

三、GCloud日志屏蔽 #

通过GCloud Logging的敏感数据掩码功能做最后一层防护：

1. 进入GCP控制台Logging页面，找到掩码规则配置入口
2. 创建新规则，设置匹配条件（如字段名包含password）
3. 指定掩码格式（例如替换为[REDACTED]）
4. 将规则应用到目标日志接收器（如Cloud Logging存储、BigQuery等）

关键提醒 #

• @Transient仅用于JPA实体持久化控制，和日志输出无关，不能依赖它屏蔽日志字段
• 优先从应用源头控制日志输出，Logstash和GCloud的配置作为兜底防护，实现多层拦截确保安全

内容的提问来源于stack exchange，提问作者Learner