Azure Application Insights遥测敏感信息加解密方案咨询

1. 正则表达式方案是否可行？ #

完全可行，但需要注意几个关键细节避免踩坑：

• 覆盖范围与准确性：要确保正则能匹配所有可能的敏感数据格式，比如考虑字段名大小写（用(?i)忽略大小写）、字段与值之间的空格（如password : 123）、引号的有无。同时要避免误匹配，比如区分password字段和包含password字符串的普通字段（如password_strength），可以用边界匹配（如\bpassword\b）优化正则。
• 性能优化：如果API流量较大，正则替换会带来一定性能开销。建议预编译正则表达式（用RegexOptions.Compiled），避免每次初始化遥测时重新编译。
• 调试兼容性：可以给正则替换加开关逻辑，比如在Debug环境下不替换，或者将原始敏感值加密后存入自定义遥测属性（仅授权人员能访问），关联Trace ID方便调试时追溯。

示例代码（ASP.NET Core遥测Initializer）：

public class SensitiveDataMaskingInitializer : ITelemetryInitializer
{
    // 预编译正则，匹配多种格式的敏感字段
    private static readonly Regex _sensitiveRegex = new Regex(
        @"(?i)\b(password|api_key|username|pii_field)\b\s*(?::|=)\s*""?([^""\s,]*)""?",
        RegexOptions.Compiled | RegexOptions.CultureInvariant);

    public void Initialize(ITelemetry telemetry)
    {
        // 仅在生产环境执行掩码
        if (!Environment.IsDevelopment() && telemetry is TraceTelemetry trace)
        {
            trace.Message = _sensitiveRegex.Replace(trace.Message, "$1: ***");
        }
    }
}

2. Azure是否有无缝加解密方案，支持关联Trace ID保存原始值？ #

Azure提供了几种方案可以实现类似需求，无需自行从头开发复杂的加解密逻辑：

• Application Insights 内置数据掩码：这是最“无缝”的方案，直接在Azure门户的Application Insights资源中配置数据掩码规则，针对Trace、请求体等内容中的指定字段（如password、api_key）自动替换为掩码值（如***）。缺点是掩码后无法恢复原始值，不适合需要调试查看原始数据的场景。
• Azure Key Vault + 自定义遥测处理器：如果需要保留原始敏感值，可在遥测处理器中用Key Vault的加密密钥加密敏感数据，将加密后的值存入Trace的自定义属性；或者将原始值作为秘密存入Key Vault，用Trace ID作为秘密名称，这样调试时可通过Trace ID在Key Vault中查询原始值。Key Vault会自动管理密钥的生命周期，无需自己处理密钥存储。
• Log Analytics 数据处理规则：若已将Trace数据导出到Log Analytics，可创建数据处理规则，在数据 ingestion阶段对敏感数据进行掩码，同时将原始值写入受RBAC严格保护的专用日志表，并关联Trace ID。日常查看用掩码后的普通表，授权人员可访问专用表查看原始数据。

额外建议 #

• 优先避免记录敏感数据：最安全高效的方式是从源头过滤，比如在ASP.NET Core中配置日志过滤器，或在序列化请求/响应时标记敏感属性（用[JsonIgnore]），避免将敏感数据写入Trace。
• 严格权限控制：无论采用哪种方案，都要限制Application Insights、Log Analytics、Key Vault的访问权限，仅授权人员能查看敏感数据或原始值。

内容的提问来源于stack exchange，提问作者Sulli