如何利用 sub_filter 指令在网关层实现在线响应内容的实时关键词过滤与脱敏-Nginx-PHP中文网

nginx sub_filter仅支持明文响应的纯字符串替换，需配gunzip on、sub_filter_types显式指定类型，不支持正则、大小写忽略和上下文判断，适用于代理出口轻量脱敏。

如何利用 sub_filter 指令在网关层实现在线响应内容的实时关键词过滤与脱敏

直接用 Nginx 的 sub_filter 指令就能在网关层做实时关键词过滤和脱敏，关键不是“能不能”，而是“怎么配才不漏、不崩、不慢”。它不碰请求体，只改响应体，轻量且生效快，适合代理出口统一处理。

明确适用边界：什么能干，什么不能碰

sub_filter 是纯字符串替换，不是正则引擎，也不解密、不解压——这些都得你手动铺路：

只处理明文响应，默认仅对 text/html 生效；要改 JSON、JS、CSS，必须显式加 sub_filter_types
上游若返回 gzip 压缩内容，sub_filter 完全匹配不到，必须配 gunzip on;（需启用 ngx_http_gunzip_module）或让后端禁用 gzip
大小写敏感，"张三" 不会匹配 "张叁" 或 "zhangsan"；真要忽略大小写，得换第三方模块或移交后端
不支持通配符、不支持上下文判断，比如无法只替换“手机号字段值”而放过“注释里的示例号码”

基础脱敏配置：从一条替换到多级控制

脱敏不是简单“找词替词”，顺序、范围、粒度都要卡准：

用 sub_filter_once off; 确保全文所有匹配项都被处理，避免只掩掉第一个手机号
多个 sub_filter 指令按书写顺序执行，建议把长词、高频词放前面，减少后续扫描开销
避免循环：比如 sub_filter "abc" "xyz"; sub_filter "xyz" "abc"; 会导致不可控结果
示例——统一脱敏测试标识与手机号：

location / {
    proxy_pass https://origin;
    gunzip on;  # 必须加，应对 gzip 响应
    sub_filter_types text/html application/json text/plain;
    sub_filter_once off;
<pre class="brush:php;toolbar:false;">sub_filter '<div class="env">TEST</div>' '';
sub_filter '13[0-9]{9}' '13****1234';  # ❌ 错误：sub_filter 不支持正则，这行无效
sub_filter '13812345678' '138****5678';  # ✅ 正确：只能逐个写死或靠后端预生成掩码
sub_filter '/admin/api/' '/[redacted]/';

}