首选在log_format中结合map指令做字段级脱敏，通过正则匹配精准替换敏感参数值为*，并用md5哈希截取ip前8位、用户名首字母保留后星号掩码，显式声明可信字段规避高危变量。
直接在 log_format 中结合 map 指令做字段级脱敏，是兼顾合规性与调试价值的首选方式。它不依赖额外模块或外部工具，从日志源头控制输出，满足 GDPR、《个人信息保护法》对“最小必要”原则的要求。
识别并屏蔽高危日志变量
Nginx 默认的 combined 格式会记录多个易泄露敏感信息的变量：
-
$http_cookie：可能含 SessionID、JWT Token、用户唯一标识 -
$args或$request_uri：URL 参数中常见password=、token=、id_card=、mobile=等明文字段 -
$http_referer：第三方跳转时可能携带手机号、邮箱等参数 -
$http_user_agent：部分测试 SDK 或定制客户端会将设备 ID、手机号拼入 UA 字符串
用 map 实现条件性参数脱敏
删除整个变量会丢失请求结构，全量保留又违规。推荐用 map 对含敏感关键词的值做精准替换，其余保持原样：
示例配置（放在 http 块内）：
map $args $sanitized_args {
default $args;
~*(password|pwd|token|api_key|access_token)=([^&\s]+) "***";
~*(mobile|phone|tel|email|id_card)=([^&\s]+) "***";
}
再在 log_format 中引用该变量：
log_format secure '$remote_addr - $remote_user [$time_local] '
'"$request_method $uri?$sanitized_args $http_version" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent"';
这样既保留了请求路径、方法、协议等关键结构，又抹掉了 URL 中的明文凭证和身份信息。
IP 地址与用户名的合规化处理
完整 IP 和明文用户名属于典型 PII（个人身份信息），需做不可逆处理：
-
IP 分段掩码：仅保留前两段，如
192.168.10.5→192.168.0.0map $remote_addr $anonymized_ip { default ~"^(\d+\.\d+)\." "$1.0.0"; } -
哈希截取（更推荐）：使用
md5+ 截取前 8 位，确保不可逆且无碰撞风险map $remote_addr $anonymized_ip { default md5($remote_addr); }，再在 log_format 中写${anonymized_ip:0:8} -
用户名脱敏：对
$remote_user可做类似处理，如首字母保留+星号替代后续字符map $remote_user $masked_user { default "~^(.)(.*)$" "$1***"; }
显式声明安全字段，禁用不可控变量
最稳妥的日志策略是“只列可信字段”，而非默认继承所有变量。避免使用 $http_cookie、$args、$http_referer 等高风险变量，改用明确可控的字段：
log_format strict '$time_iso8601 | $status | $request_method | $uri | '
'$body_bytes_sent | $upstream_response_time | '
'$request_length | $bytes_sent | $http_x_forwarded_for';
配合 access_log /var/log/nginx/access.log strict; 使用，彻底规避隐式变量带来的合规隐患。
