docker容器日志脱敏必须在应用层完成，不能依赖日志驱动；推荐java logback自定义converter实现字段级掩码，辅以环境变量安全注入和elk/loki后置兜底处理。
Docker 容器日志脱敏不能靠日志驱动（比如 json-file）来做，因为 Docker 本身不提供字段级内容过滤或正则替换能力。真正有效的脱敏必须在应用输出日志前完成，也就是在代码或日志框架层拦截、识别、掩码敏感字段。
下面分三类场景给出可落地的写法：
应用层日志框架脱敏（推荐首选）
以 Java + Logback 为例，通过自定义 Converter 实现手机号、银行卡号、邮箱等自动掩码：
<!-- logback-spring.xml -->
<appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender"><encoder><pattern>%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n</pattern></encoder></appender>
添加自定义 Converter（Java 类）：
public class PiiMaskingConverter extends ClassicConverter {
private static final Pattern PHONE_PATTERN = Pattern.compile("1[3-9]\d{9}");
private static final Pattern CARD_PATTERN = Pattern.compile("\b\d{4}\s?\d{4}\s?\d{4}\s?\d{4}\b");
private static final Pattern EMAIL_PATTERN = Pattern.compile("\b([a-zA-Z0-9._%-]+)@([a-zA-Z0-9.-]+\.[a-zA-Z]{2,})\b");
@Override
public String convert(ILoggingEvent event) {
String msg = event.getFormattedMessage();
// 手机号：13812345678 → 1****5678
msg = PHONE_PATTERN.matcher(msg).replaceAll(m -> {
String full = m.group();
return full.substring(0, 1) + "****" + full.substring(7);
});
// 银行卡：6228 4800 1234 5678 → **** **** **** 5678
msg = CARD_PATTERN.matcher(msg).replaceAll(m -> {
String full = m.group().replaceAll("\s+", "");
return "**** **** **** " + full.substring(12);
});
// 邮箱：user@example.com → ***@example.com
msg = EMAIL_PATTERN.matcher(msg).replaceAll(m -> "***@" + m.group(2));
return msg;
}
}
注册后在 pattern 中引用：
<pattern>%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %piimask(%msg)%n</pattern>
其他语言类似：
- Python：用
logging.Filter子类重写filter()方法 - Node.js：封装
console.log或使用pino的transform钩子 - Go：在 zap 的
Core层做WriteEntry前处理
容器启动时环境变量脱敏（辅助手段）
避免把密钥、token 直接打到日志里，禁止用 --env 显式传敏感值：
❌ 错误写法：
docker run -e DB_PASSWORD=abc123 --log-driver=json-file app # 日志中可能泄露：Connecting to db with password abc123
✅ 正确做法：
- 用 Docker secrets（Swarm）或 Kubernetes Secret 挂载文件
- 或通过
-v /path/to/cred:/app/cred:ro方式注入，应用读取后不打印原始值
ELK/Loki 管道级后置脱敏（仅作兜底）
Logstash 或 Fluent Bit 可在日志进入存储前做简单替换（但性能开销大，且无法覆盖已写入的本地日志）：
Logstash 示例（filter 插件）：
filter {
mutate {
gsub => [
"message", "1[3-9]d{9}", "1****5678",
"message", "d{4}s?d{4}s?d{4}s?d{4}", "**** **** **** 1234"
]
}
}
⚠️ 注意：这种写法无法保证 100% 覆盖（比如 JSON 字段嵌套过深、base64 编码内容），也不能防止敏感数据被写入容器本地 *-json.log 文件——所以只能作为最后一道防线，不能替代应用层脱敏。
脱敏的关键原则就三条：
- 敏感字段必须在 stdout 输出前处理，不是“写了再删”
- 不依赖 Docker 日志驱动做内容过滤（它只管收，不管改）
- 日志级别也要配合：DEBUG 日志禁用完整请求体，INFO 级别只记录必要摘要
