如何在Nginx访问日志中匿名化密码参数？

嘿，这个需求在Nginx里完全可以搞定，分两种场景来处理就行——不管是URL里的查询参数，还是请求体里的JSON字段，都有对应的解决方案，我给你一步步拆解：

场景1：URL查询字符串中的密码参数匿名化 #

如果你的Nginx是原生版本（没装太多第三方模块），可以用map指令结合正则来覆盖不同参数位置的情况；要是你有set-misc模块（很多发行版自带，或者编译时能加），用全局正则替换会更简洁。

原生Nginx方案（无需额外模块） #

在http块里定义一个map来处理查询参数，把password或passwort的值替换成***：

map $args $sanitized_args {
    # 默认情况直接返回原参数
    default $args;
    # 匹配参数在开头的情况
    ~*(password|passwort)=([^&]*) $1=***;
    # 匹配参数在中间的情况（前后都有其他参数）
    ~*(.*)&(password|passwort)=([^&]*)&(.*) $1&$2=***&$4;
    # 匹配参数在末尾的情况
    ~*(.*)&(password|passwort)=([^&]*) $1&$2=***;
}

然后更新你的日志格式，用$sanitized_args替代原来的$args：

log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                '$status $body_bytes_sent "$http_referer" '
                '"$http_user_agent" "$sanitized_args"';

# 在server块里应用这个日志格式
server {
    # ...你的其他配置
    access_log /var/log/nginx/access.log main;
}

更简洁的全局替换方案（依赖set-misc模块） #

如果有set-misc模块，直接用regsub函数一次性全局替换所有匹配的参数，不用写一堆规则：

http {
    set $sanitized_args $args;
    # 全局替换password/passwort参数的值为***
    set $sanitized_args 'regsub($sanitized_args, "(password|passwort)=[^&]*", "$1=***", "g")';

    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$sanitized_args"';
}

场景2：请求体中JSON的passwort参数匿名化 #

这个场景需要解析请求体里的JSON，替换敏感字段，推荐用OpenResty的Lua模块（或者编译了ngx_http_lua_module的Nginx）来实现，灵活性更高。

配置步骤 #

1. 先确保Nginx能拿到请求体：配置缓冲区大小（根据你的实际请求体大小调整）
2. 用Lua正则替换JSON里的password/passwort字段值

http {
    # 配置请求体缓冲区，确保$request_body能获取到内容
    client_body_buffer_size 16k;
    client_max_body_size 16k;
    # 如果请求体是gzip压缩的，记得开启解压
    gunzip on;

    # 用Lua处理请求体，替换敏感字段
    set_by_lua_block $sanitized_body {
        local raw_body = ngx.var.request_body or ""
        # 替换JSON中的"passwort":"xxx"为"passwort":"***"
        local cleaned_body = ngx.re.gsub(raw_body, '"passwort":"[^"]*"', '"passwort":"***"', "jo")
        # 同时处理password字段（如果需要的话）
        cleaned_body = ngx.re.gsub(cleaned_body, '"password":"[^"]*"', '"password":"***"', "jo")
        return cleaned_body
    }

    # 更新日志格式，加入处理后的请求体
    log_format main '$remote_addr - $remote_user [$time_local] "$request" '
                    '$status $body_bytes_sent "$http_referer" '
                    '"$http_user_agent" "$sanitized_args" "$sanitized_body"';

    server {
        # ...你的其他配置
        access_log /var/log/nginx/access.log main;
    }
}

注意事项 #

• 如果请求体太大，不建议全量写入日志，避免日志文件暴涨；
• 正则里的jo参数：j启用PCRE_JIT（提升性能），o表示正则只编译一次；
• 要是参数名有大小写变化（比如Password），可以给正则加i参数，比如ngx.re.gsub(..., '"(password|passwort)":"[^"]*"', ..., "ijo")。

最后验证 #

修改完配置后，用nginx -t检查语法是否正确，然后systemctl reload nginx重新加载配置，之后测试请求就能看到日志里的密码参数已经被匿名化啦！

内容的提问来源于stack exchange，提问作者codeneuss