如何在 Go 中实现基于中间件的 API 访问审计-Golang-PHP中文网

Go中间件中需自定义ResponseWriter缓存响应体，并用ioutil.ReadAll+io.NopCloser复用r.Body，同时对敏感字段脱敏、限制日志长度、跳过健康检查路径并采样，以兼顾审计完整性与性能。

如何在 go 中实现基于中间件的 api 访问审计

Go 的 http.Handler 中间件默认只能访问 *http.Request 和 http.ResponseWriter，但后者是接口，不支持直接读取响应体。想审计 API 的入参和出参，必须包装响应写入过程。

常见错误是直接用 response.Body —— 它根本不存在；或者试图在 WriteHeader 后再读响应，此时已发送给客户端，无法捕获。

用 httptest.ResponseRecorder 仅适合测试，生产环境会吃内存、拖慢吞吐，别用
正确做法：自定义一个 ResponseWriter 实现，把 Write 和 WriteHeader 的数据缓存到字节切片或 bytes.Buffer
注意响应可能分多次 Write，要确保缓存完整；如果响应体很大（比如文件下载），需设上限并标记截断，避免 OOM

示例关键结构：

type auditResponseWriter struct {
    http.ResponseWriter
    statusCode int
    body       *bytes.Buffer
}

GET 请求参数从 r.URL.Query() 拿，POST/PUT 的 JSON 或表单则得解析 r.Body。但问题在于：r.Body 只能读一次，读完业务 handler 就拿不到原始数据了。

解决方案不是“复制一遍 body”，而是用 io.TeeReader 或重置 Body 的底层 io.ReadCloser：

对 JSON 请求，建议用 io.NopCloser(bytes.NewReader(buf)) 把缓存的字节重新赋给 r.Body，前提是提前 ioutil.ReadAll(r.Body) 并保存
注意 r.ParseForm() 会自动读 Body，若审计中间件在它之前执行，必须手动调用 r.ParseMultipartForm 或 r.ParseForm 并恢复 r.PostForm 等字段
敏感字段（如 password、token）应在审计前就脱敏，别等日志落地再处理

写本地文件容易丢日志、难聚合；直连 Elasticsearch 或 Kafka 又增加部署复杂度。折中方案是走结构化日志管道，比如用 zerolog + stdout，由容器平台统一收集。

下载

一条可用的审计日志至少包含：

别记录 Authorization 头原始值 —— 即使是 Bearer Token，也应只记前 8 位 + "..."。

审计动作本身不是纯内存操作：JSON 序列化、字符串拼接、日志写入都涉及内存分配和锁。QPS 上千后，容易成为瓶颈。

避免在审计中间件里做 json.Marshal：先用 bytes.Buffer 缓存原始字节，序列化推迟到日志采集端
日志写入不要同步刷盘，用带缓冲的 zerolog.ConsoleWriter 或异步 channel + worker 模式
对健康检查路径（如 /healthz）、静态资源（/static/）做路径白名单跳过审计，用 strings.HasPrefix(r.URL.Path, "/healthz") 判断比正则快得多
启用采样：比如 rand.Intn(100) == 0 只记录 1% 请求，调试期开全量，上线后降级