为Stackdriver日志添加OAuth2认证令牌的技术问询

我刚好在GCP上部署Express应用时遇到过同样的需求，给你几个实用的方案来实现这个功能：

1. 先从请求中提取OAuth2令牌 #

首先需要在Express中间件里从请求头中抓取OAuth2令牌——通常它会放在Authorization头里，格式是Bearer <token>。你可以写一个全局中间件来处理：

app.use((req, res, next) => {
  // 提取Bearer令牌
  const authHeader = req.headers.authorization;
  if (authHeader && authHeader.startsWith('Bearer ')) {
    // 可选：如果担心令牌泄露，可以只截取部分内容（比如前后各8位）
    req.oauthToken = `${authHeader.split(' ')[1].slice(0, 8)}...${authHeader.split(' ')[1].slice(-8)}`;
  } else {
    req.oauthToken = 'unauthenticated';
  }
  next();
});

如果你的应用用了Passport.js这类OAuth2认证中间件，令牌可能已经存在于req.user或req.authInfo中，直接从那里取更方便，不用自己解析头。

2. 将令牌注入Winston日志元数据 #

接下来要把令牌和日志条目绑定，有两种常用方式：

方式一：给每个请求创建带令牌的子Logger #

这种方式适合全局添加令牌到所有请求相关的日志，不用每次手动传参数：

// 初始化Winston和Stackdriver插件
const { LoggingWinston } = require('@google-cloud/logging-winston');
const winston = require('winston');

const loggingWinston = new LoggingWinston();
const baseLogger = winston.createLogger({
  level: 'info',
  transports: [
    new winston.transports.Console(),
    loggingWinston,
  ],
});

// 中间件：给每个请求挂载带令牌的子Logger
app.use((req, res, next) => {
  req.logger = baseLogger.child({ oauth_token: req.oauthToken });
  next();
});

之后在路由里直接用req.logger记录日志，令牌会自动附加到元数据中：

app.get('/api/resource', (req, res) => {
  req.logger.info('Resource accessed', { endpoint: '/api/resource' });
  // 处理业务逻辑...
  res.send('Success');
});

方式二：手动在日志调用时传入令牌 #

如果只需要在特定日志中添加令牌，可以直接在logger.info()等方法的第二个参数里传入：

app.post('/api/submit', (req, res) => {
  logger.info('Data submitted', { 
    oauth_token: req.oauthToken,
    payload_size: Object.keys(req.body).length 
  });
  // 处理提交逻辑...
  res.send('Submitted');
});

3. 控制令牌的显示范围（可选） #

如果不想在控制台日志里显示令牌（避免本地调试时泄露），可以给控制台和Stackdriver Transport分别配置格式，过滤掉敏感字段：

// 控制台Transport：不显示令牌
const consoleTransport = new winston.transports.Console({
  format: winston.format.combine(
    winston.format.metadata({ fillExcept: ['oauth_token'] }),
    winston.format.cli()
  )
});

// Stackdriver Transport：保留所有元数据
const loggingWinston = new LoggingWinston({
  format: winston.format.combine(
    winston.format.metadata(),
    winston.format.json()
  )
});

const logger = winston.createLogger({
  level: 'info',
  transports: [consoleTransport, loggingWinston],
});

验证效果 #

完成配置后，发起请求后去Stackdriver Logging控制台，就能在日志条目的jsonPayload里看到oauth_token字段了，你可以通过过滤jsonPayload.oauth_token快速定位特定用户的日志。

内容的提问来源于stack exchange，提问作者abhi