Golang微服务中针对敏感信息的加密脱敏处理-Golang-PHP中文网

敏感字段应在数据落库前加密、读出后解密，展示时脱敏；加密用于存储/传输，脱敏仅用于展示，二者不可混淆，各出口路径需独立处理。

golang微服务中针对敏感信息的加密脱敏处理

敏感字段该在哪儿加密，而不是脱敏

加密和脱敏是两件事：加密用于存储或传输（如数据库、RPC），脱敏用于展示（如 HTTP 响应、日志）。微服务里混淆这两者，会导致要么前端拿不到可读字段，要么数据库存了明文。真实项目中，手机号在 DB 里必须 AES 加密存储，但在返回给前端时只做脱敏（如 "138****0000"），不能把密文直接塞进 JSON。

常见错误是用 json.Marshaler 去加密字段——它只控制序列化输出，不改内存值，更不碰持久层；反过来，DAO 层用 AES.Encrypt 处理字段后写入 DB，但没同步更新结构体字段，导致后续 HTTP 响应仍用原始明文脱敏，出现“DB 是密文，API 却暴露明文”的双轨失控。

加密入口必须在数据落库前：比如 ORM 的 BeforeCreate 钩子，或 Repository 的 Save() 方法内显式调用 aes.Encrypt(user.Phone)
解密入口必须在数据读出后、业务逻辑使用前：比如 FindByID() 返回的 struct，需立即对加密字段调用 aes.Decrypt()，否则下游 handler 拿到的是密文字节
加密密钥别硬编码：生产环境走 Vault 的 transit/encrypt/mykey API，开发环境用本地 KMS 或环境变量注入的 AES key（AES_KEY=32-byte-hex-string）

struct tag + json.Marshaler 是唯一可控的脱敏出口

HTTP 响应里手机号、身份证号怎么安全变 "****"？中间件做不到，正则扫 JSON 更危险。真正能落地的只有 json.Marshaler 接口配合 struct tag 显式声明。

例如定义 type User struct { Phone string `json:"phone" redact:"phone"` }，再实现：

Golang Spf13 Viper

Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。

下载

func (u *User) MarshalJSON() ([]byte, error) {
    type Alias User
    aux := &struct {
        *Alias
        Phone string `json:"phone"`
    }{Alias: (*Alias)(u)}
    if isRedactEnabled() {
        aux.Phone = maskPhone(u.Phone)
    }
    return json.Marshal(aux)
}

必须用指针接收器 (*User)，否则嵌套结构（如 Profile *UserProfile）里的 Phone 不会被重写
脱敏值禁用空字符串：如果字段带 json:",omitempty"，脱敏后设 "" 会让整个字段消失，改用 "*** **** ***" 或 "[REDACTED]"
tag 名别复用 json:，标准库会忽略 redact:"phone"，但你的反射逻辑可以安全提取——IDE 能跳转，编译期可校验

日志、gRPC、panic 堆栈必须各自收口

一个 User 结构体，在 HTTP 响应里脱敏了，不代表它进了日志就安全。zap 打 zap.Any("user", u) 会绕过 MarshalJSON，直接反射取字段值；gRPC protobuf 序列化也不认 Go 的 interface；甚至 panic 时打印的 stack trace 里，局部变量 u.Phone 仍是明文。

日志用 zapcore.ObjectMarshaler：让 User 实现 MarshalLogObject()，只暴露脱敏后的字段
gRPC 用 DTO 分离：数据库实体 UserModel 和 gRPC message UserResponse 分开，UserResponse 构造时手动调 maskPhone()
panic 场景无法拦截，只能靠防御性编程：敏感字段在函数入参或局部变量里出现时，立刻用 defer func(){ u.Phone = "[REDACTED]" }() 覆盖，避免堆栈 dump 泄露

viper 配置加载阶段就要脱敏，不是之后补救

配置文件里 database.password: "root123"，一旦 viper.Unmarshal(&cfg) 完成，明文已进内存。后续任何“日志过滤”“中间件删字段”都晚了。

正确做法是用 mapstructure.DecodeHookFunc 在反序列化过程中拦截：

viper.SetConfigType("yaml")
viper.ReadConfig(bytes.NewReader(yamlBytes))
viper.Unmarshal(&cfg, viper.DecodeHook(redactHook()))

hook 函数里只处理 f.Kind() == reflect.String && t.Kind() == reflect.String，其他类型跳过，避免把 timeout: 30 强转成 "[REDACTED]"
key 路径判断用 viper.AllKeys() 或调用栈提取，匹配 "database.password" 而非只看值是否含 "pass"
环境变量覆盖时，viper.BindEnv("database.password", "DB_PASSWORD") 必须在 bind 前手动脱敏：os.Setenv("DB_PASSWORD", "[REDACTED]")

最易被忽略的是：所有出口路径（HTTP、日志、gRPC、panic、配置）的脱敏逻辑彼此独立，没有银弹，也没有全局开关。写错一层，敏感数据就裸奔一次。