nginx日志中动态屏蔽含token参数的核心是用log_format结合map指令在日志生成源头脱敏，匹配?token=或&token=等模式将其值替换为[redacted]，保留路径结构与非敏感参数，满足pci dss、gdpr等合规要求。
在 Nginx 日志中动态屏蔽含 Token 的请求参数（如 ?token=xxx 或 &auth=yyy），核心是**不记录敏感值本身，而保留路径结构与非敏感参数**，满足 PCI DSS、GDPR 等审计要求。这不是靠“过滤已有日志”，而是从源头控制 日志格式生成时就脱敏。
用 log_format + map 实现参数级动态脱敏
Nginx 本身不支持正则替换日志内容，但可通过 map 指令预处理请求 URI，在写入日志前抹掉敏感参数值（保留键名和其它参数）。关键步骤：
- 定义一个
map块，匹配含敏感参数的$request_uri，用正则提取并替换 token 值为[REDACTED] - 在
log_format中引用该 map 变量，替代原始$request_uri - 确保 map 在 http 块顶层定义，早于 log_format 加载
示例配置：
http {
# 定义脱敏映射：匹配 ?token=... 或 &token=...，替换 token 值为 [REDACTED]
map $request_uri $safe_uri {
~^(?<path>[^?#]*)(?<query>\?[^#]*|)(?<fragment>#[^#]*)?$
"${path}${query}${fragment}";
~^(?<path>[^?#]*)(?<query>\?[^#]*token=)[^&\s#]*(?<rest>[&\s#].*|)$
"${path}${query}[REDACTED]${rest}";
~^(?<path>[^?#]*)(?<query>[^?#]*&[^?#]*token=)[^&\s#]*(?<rest>[&\s#].*|)$
"${path}${query}[REDACTED]${rest}";
default $request_uri;
}
<pre class="brush:php;toolbar:false;">log_format secure '$remote_addr - $remote_user [$time_local] '
'"$request_method $safe_uri $server_protocol" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent"';
access_log /var/log/nginx/access.log secure;
}
只屏蔽特定路径下的敏感参数（更精准）
若仅需对 /api/v1/submit 或 /oauth/callback 等高风险路径脱敏，可在 map 中加路径判断，避免全局性能损耗：
- 先用
map $request_uri $is_sensitive_path判断是否命中目标路径 - 再嵌套 map：当
$is_sensitive_path = 1时执行 token 替换，否则直传 - 这样未匹配路径的 URI 完全不进正则，零开销
例如：
map $request_uri $is_sensitive_path {
~^/api/v1/submit 1;
~^/oauth/callback 1;
default 0;
}
<p>map $is_sensitive_path $safe_uri {
1 $redacted_uri; # 触发另一层脱敏 map
0 $request_uri;
}</p><h1>再定义 $redacted_uri 的脱敏逻辑（同上，但只用于敏感路径）</h1><p>map $request_uri $redacted_uri {
~^(?</p><p>[^?#]<em>)(?<q>\?[^#]</q></em>token=)[^&\s#]<em>(?<r>[&\s#].</r></em>|)$ "${p}${q}[REDACTED]${r}";
~^(?</p><p>[^?#]<em>)(?<q>[^?#]</q></em>&[^?#]<em>token=)[^&\s#]</em>(?<r>[&\s#].*|)$ "${p}${q}[REDACTED]${r}";
default $request_uri;
}</r></p>验证脱敏效果与审计要点
上线前必须验证三点，否则审计可能不认可：
-
不漏脱敏：用含
?token=abc123&id=456和&auth=xyz的请求测试，确认日志中只留?token=[REDACTED]&id=456 -
不误伤正常参数：确保
?user_token=xxx（非敏感键名）或?next=/dashboard不被错误替换 -
日志仍可排障：脱敏后路径结构完整（如
/api/login?token=[REDACTED]&lang=zh），运维能定位接口和非敏感行为
建议在测试环境用 curl -v "https://yoursite.com/api/test?token=abc&debug=1" 配合 tail -f /var/log/nginx/access.log 实时观察。
补充：为什么不用 rewrite 或第三方模块？
rewrite 会真实修改请求（影响后端逻辑），且无法只改日志；lua-nginx-module 虽灵活但引入额外依赖，不符合最小化原则。Nginx 原生 map + log_format 方案无运行时开销、无需编译模块、审计文档清晰——它只改变日志字符串的“呈现方式”，不触碰请求处理流程，最符合合规场景的本质要求。
