C# 9 record如何隐藏自动生成方法中的敏感属性值

核心结论 #

• 直到目前的C# 12 / .NET 9 正式版本，C# 编译器为record自动生成的ToString()方法 没有任何内置的特性标记可以让特定敏感属性自动被掩码处理，不存在你没留意到的“开箱即用”实现方式。
• 你最初想到的字符串替换方案 有明显的逻辑隐患，并不适合在生产环境长期使用。

record 自动生成 ToString 的固定规则 #

编译阶段为record合成的ToString()逻辑是完全硬编码的，没有预留任何运行时可配置的扩展点，固定执行流程为：

• 输出当前record的完整类型名称
• 按属性的声明顺序，遍历所有公共、非静态的实例属性
• 对每个属性调用其自身的ToString()获取值，按照属性名 = 属性值的格式拼接内容
• 全程不会读取任何自定义特性、不会遵循其他框架的序列化规则调整输出，也不会主动跳过任何公共属性

更可靠的替代实现（针对C# 9及以上版本） #

相比你写的字符串替换逻辑，可以选择以下几种风险更低的方案：

• 手动重写拼接逻辑：不调用base.ToString()，直接按照和编译器生成逻辑完全一致的格式拼接输出内容，对敏感属性直接写死固定掩码字符串。
  这种方式完全可控，不会出现非敏感内容被误替换、空值触发异常的问题；缺点是后续新增或修改非敏感属性时，需要同步手动更新ToString()的拼接内容，容易出现遗漏。
• 基于源生成器的自动化方案：自定义标记特性（例如[SensitiveProperty]）标记需要掩码的属性，通过编译期源生成器为所有带标记的record生成和编译器格式完全一致的ToString()逻辑，遇到敏感属性时自动替换为掩码值。
  这种方案的体验和编译器原生生成的ToString()几乎没有差别，不需要手动维护每个record的输出逻辑，是现在社区中最常用的替代方案。

常见的认知误区 #

• 所有JSON序列化、日志框架自带的属性掩码规则，都不会影响record本身的原生ToString()输出——这部分逻辑是编译期硬编码的，和运行时的序列化、日志逻辑完全独立。
• 最初的字符串替换实现有两个明确的缺陷：
  • 当敏感属性值为null时，直接调用.Replace(Password, "********")会触发空引用异常
  • 如果非敏感属性的内容刚好和敏感属性值完全一致，会被无差别替换为掩码，造成日志数据错乱

内容的提问来源于stack exchange，提问作者Matt Mills