pytest_runtest_logreport 不适合脱敏，因为它仅接收已字符串化的 report（如 longrepr、capstdout），不接触原始参数、断言表达式或日志 record 对象；敏感信息在进入该 hook 前就已固化为不可逆文本，正则替换易漏误伤且无法覆盖动态值。
直接改 pytest_runtest_logreport 无法实现日志中敏感信息脱敏 —— 它只负责输出格式，不接触测试函数的输入/输出/异常内容。
为什么 pytest_runtest_logreport 不适合脱敏
这个 hook 只接收已生成的 report 对象（含 longrepr、caplog、capstdout 等字段），但这些字段里的内容在进入 hook 前就已完成字符串化，且通常不含原始参数或断言上下文。你看到的失败堆栈、print 输出、日志记录，早已是“不可逆”的字符串。
常见误操作包括：在 hook 里对 report.longreprtext 做正则替换 —— 表面看起来“脱敏了”，但实际掩盖了问题根源，且无法处理动态生成的敏感值（如 token、手机号、密码字段）。
- 它不接收测试函数的
args/kwargs，无法在调用前清洗入参 - 它不拦截
assert失败时的表达式求值结果（比如assert user.email == "admin@xxx.com"的右值不会被传入 hook） - 对
caplog.text或capstdout的字符串替换容易漏匹配、误伤、破坏堆栈结构
真正有效的脱敏入口：从 fixture 和 caplog/capfd 入手
敏感信息最常出现在：测试参数（@pytest.mark.parametrize）、日志输出（logging）、标准输出（print）、断言失败消息。对应要干预的点是：
- 用自定义 fixture 包装敏感参数，返回脱敏后的副本（如把
"abc123@x.com"→"***@x.com"） - 重写
caplog的 handler，在 emit 时过滤/替换日志 record.msg / record.args - 用
capfd拦截 stdout/stderr，对out和err字符串做脱敏再写回 - 配合
pytest_assertrepr_comparehook，定制 assert 失败时的对比文本（例如隐藏 dict 中的"token"键值）
示例：脱敏 caplog 输出
import re
import logging
from _pytest.logging import LogCaptureHandler
<p>def pytest_configure(config):
class SanitizingLogHandler(LogCaptureHandler):
def emit(self, record):</p><h1>脱敏 record.msg 中的邮箱、token、手机号</h1><pre class="brush:python;toolbar:false;"> record.msg = re.sub(r"\b[A-Za-z0-9._%+-]+@[A-Za-z0-9.-]+\.[A-Z|a-z]{2,}\b", "***@***.***", record.msg)
record.msg = re.sub(r"(token|password|secret)[\"':\s]*[:\"'\s]*[^\s,}]+", r"\1: ***", record.msg)
super().emit(record)
config.pluginmanager.getplugin("logging")._handler = SanitizingLogHandler()
对 parametrize 数据脱敏：避免明文出现在 pytest -v 输出中
pytest 默认把 parametrize 的参数值转成字符串显示在测试名里（如 test_login[admin@site.com-password123]），这是最暴露敏感信息的地方。
- 不要直接传原始敏感值；改用 ID 映射 + fixture 查表
- 用
ids参数显式控制显示名，例如ids=["valid_user", "admin_user"] - 或者用 lambda 做轻量脱敏：
ids=lambda x: x.split("@")[0] + "@***.***" if "@" in x else x
关键点：pytest 在构造测试 ID 时只调用 str() 或 ids 函数，不执行测试逻辑 —— 所以脱敏必须发生在这个阶段，而非运行时。
assert 失败消息脱敏：靠 pytest_assertrepr_compare
当 assert response.json() == {"user": "alice", "token": "xyz789..."} 失败时，pytest 默认会把整个 dict 原样打印出来。用这个 hook 可以重写对比描述：
def pytest_assertrepr_compare(op, left, right):
if op == "==":
if isinstance(left, dict) and isinstance(right, dict):
# 屏蔽 token/password 字段
def scrub(d):
d = d.copy()
for key in ["token", "password", "secret", "auth_token"]:
d.pop(key, None)
return d
left_scrubbed = scrub(left)
right_scrubbed = scrub(right)
return [
f"assert {left_scrubbed} == {right_scrubbed}",
f"Left had extra keys: {set(left.keys()) - set(right.keys())}",
]
注意：该 hook 返回的是字符串列表，每行作为一条 assertion message；它不改变原始对象，只影响终端显示。
真正难的不是写几个正则，而是判断哪些字段在哪些上下文中需要脱敏 —— 比如测试数据库连接字符串可能出现在 fixture setup 日志里，也可能藏在 SQLAlchemy 的 debug log 中；这类场景必须结合具体日志层级和 formatter 控制，不能依赖统一替换。
Python免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 Python 的核心概念和高级技巧！
