控制台隐藏敏感凭证的关键是设为不可枚举属性。使用object.defineproperty或defineproperties将token等字段的enumerable设为false，使其不显示在console.log展开视图、for...in和object.keys()中，但仍可正常读写；配合getter可实现动态计算与隐身；同时需规范日志输出，避免显式打印敏感值。
在控制台打印对象时隐藏敏感身份凭证，关键不是“不让打印”，而是让凭证不被自动暴露在 console.log 的默认展开结构里。因为 console.log(obj) 内部会调用类似 Object.keys() 和属性遍历的机制，而 enumerable: false 正是切断这一路径最轻量、最直接的手段。
用 Object.defineProperty 设置不可枚举属性
这是最常用也最稳妥的方式。把 token、secret、apiKey 等字段定义为不可枚举，它们仍可被代码正常读写，但不会出现在控制台的对象展开视图、for...in 或 Object.keys() 中：
- 调用
Object.defineProperty(user, 'token', { value: 'abc123', enumerable: false, writable: true }) - 执行
console.log(user)时，控制台显示的对象树里不会列出token字段 - 但你仍能通过
user.token获取或赋值，不影响业务逻辑 - 注意：
Object.getOwnPropertyNames(user)和调试器的“查看所有属性”仍能看到它——这属于预期行为，仅防无意暴露
批量配置多个敏感字段（Object.defineProperties）
当对象有多个需隐藏的凭证字段（如 apiKey、refreshToken、sessionKey），用 Object.defineProperties 更清晰高效：
- 一次性定义全部描述符，避免重复写
defineProperty - 每个字段都设
enumerable: false，还可按需加writable: false防误改 - 示例：
Object.defineProperties(config, { apiKey: { value: 'live_...', enumerable: false, writable: false }, sessionKey: { value: 'sess_xxx', enumerable: false } })
配合 getter 实现“只读+隐身”的校验凭证
如果某个敏感值需要动态计算或带访问逻辑（比如从加密存储中解密后返回），可用不可枚举的 getter 封装：
- 定义
_decryptedToken为不可枚举 getter：get _decryptedToken() { return decrypt(this.encrypted); } - 设置
enumerable: false后，console.log(user)不显示该属性名，但user._decryptedToken仍可调用 - 外部无法通过遍历发现这个“辅助接口”，又保留了内部使用的灵活性
补充：控制台日志本身也要脱敏
即使属性不可枚举，若你在代码中显式写了 console.log('token:', user.token)，它依然会打印出来。所以还需配合日志规范：
- 禁止在生产环境
console.log敏感字段的原始值 - 开发阶段可用占位符代替，例如
console.log('token:', '[REDACTED]') - 团队可统一使用封装的日志工具，自动识别并掩码已知敏感键名（如
token、password、secret）
