如何在postgresql.log中屏蔽敏感值？配置无效求解决方案

问题分析 #

你之前的配置存在两个关键错误：

• log_redact不是PostgreSQL的内置配置参数，该参数不存在，因此无法生效。
• log_line_prefix仅用于定义日志行的前缀格式（如时间、进程ID等），不能直接调用SQL函数REGEXP_REPLACE来修改日志消息内容。

有效解决方案 #

方案一：PostgreSQL 15+ 官方内置日志脱敏（推荐） #

PostgreSQL 15及以上版本新增了log_masking参数，支持正则表达式替换日志中的敏感内容，配置步骤如下：

1. 编辑PostgreSQL配置文件（通常为postgresql.conf）：

   # 直接替换固定字符串
   log_masking = 'password@123:******'
   # 如果要匹配一类密码（比如password@加数字组合），使用正则表达式
   # log_masking = 'password\@[0-9]+:******'
   

   注意：正则中的特殊字符（如@）需要转义，避免被当作正则语法解析。
2. 重启PostgreSQL服务使配置生效：

   # 以systemd服务为例
   sudo systemctl restart postgresql
   

方案二：低版本PostgreSQL（<15）外部工具处理 #

如果你的PostgreSQL版本低于15，没有内置日志脱敏功能，可以通过日志滚动工具结合文本替换命令实现：

1. 确保启用日志滚动（默认logging_collector = on），编辑postgresql.conf配置日志滚动参数：

   logging_collector = on
   log_filename = 'postgresql-%Y-%m-%d_%H%M%S.log'
   log_rotation_age = 1d
   log_rotation_size = 100MB
   

2. 创建日志脱敏脚本（比如redact_logs.sh）：

   #!/bin/bash
   LOG_DIR="/var/log/postgresql"
   # 替换日志中的敏感内容
   sed -i 's/password@123/******/g' ${LOG_DIR}/postgresql-*.log
   

3. 设置定时任务（cron）定期执行脚本，或结合pg_logrotate工具在日志滚动时触发替换操作。

注意事项 #

• 修改配置文件后必须重启PostgreSQL服务（log_masking参数需要重启才能生效）。
• 正则表达式匹配时要确保准确性，避免误替换正常业务数据。
• 低版本外部处理方式需保证脚本权限正确，避免日志文件无法访问或被误修改。

内容的提问来源于stack exchange，提问作者Sakthis