如何在Airflow DAG日志中隐藏敏感环境变量？

嘿，我来帮你搞定Airflow日志里隐藏敏感环境变量的问题！结合你用DockerOperator跑Oracle监控的场景，给你几个实用的方案：

1. 先改掉最危险的操作：去掉printenv命令 #

你当前的command里有printenv，这会直接把容器里所有环境变量（包括你的敏感PASSWORD_CX）全打印到日志里，这绝对是泄露敏感信息的大坑！赶紧把这个命令删掉，或者如果非要打印环境变量，只筛选非敏感的来打印，比如printenv | grep -v PASSWORD_CX。

2. 利用Airflow的敏感变量标记机制 #

你已经把Oracle连接串存在Airflow变量password_oracle_connections里了，那获取这个变量的时候，记得加上sensitive=True参数，这样Airflow会自动在日志里把它的值替换成***这类占位符，不会泄露明文：

from airflow.models import Variable

# 获取敏感变量并标记为敏感
oracle_conn_str = Variable.get("password_oracle_connections", sensitive=True)

然后把这个变量传给DockerOperator的environment参数时，Airflow就不会在日志里输出它的真实值了。

3. 用Airflow Secret类安全传递敏感变量（推荐） #

从Airflow 2.0版本开始，官方推荐用Secret类来管理敏感数据，它能更安全地把敏感变量注入到Docker容器中，而且完全不会在日志里留下明文痕迹。调整你的DockerOperator代码如下：

from airflow.secrets import Secret
from airflow.models import Variable

dag_task_name = "Oracle_Monitoring"
with DAG(dag_task_name, default_args=default_args, catchup=False) as dag:
    task1 = DockerOperator(
        task_id=dag_task_name,
        image="repo.cargo.fr:8444/ass/airflow-oracle-monitoring:v0.1.0",
        # 删掉printenv，避免泄露敏感变量
        command='/bin/bash -c \'echo "=== My context === "; \
                                ls -l /app; \
                                echo "==================="; \
                                python /app/oracle_monitor.py\'',
        auto_remove=True,
        xcom_all=True,
        tty=True,
        force_pull=True,
        # 非敏感环境变量可以直接在这里定义
        environment={
            "APP_ENV": "production"
            # 敏感变量不要在这里写，用secrets参数传递
        },
        secrets=[
            Secret(
                env="PASSWORD_CX",  # 容器里的环境变量名
                variable_name="password_oracle_connections"  # Airflow中对应的变量名
            )
        ]
    )

这样PASSWORD_CX会被安全注入到容器里，日志里只会看到这个变量的名称，看不到真实值。

4. 确认Airflow配置的安全开关 #

检查你的Airflow配置文件（airflow.cfg）里的hide_sensitive_var_conn_fields参数，确保它被设置为True（这是默认值，但最好确认一下），这个配置会让Airflow自动隐藏所有标记为敏感的变量和连接字段的日志输出。

总结一下，核心就是：别在命令里打印所有环境变量，用Airflow的敏感变量机制或者Secret类来传递敏感数据，确保配置里的安全开关开启，这样就能有效避免敏感信息出现在DAG日志里啦！

备注：内容来源于stack exchange，提问作者user1185081