在 location 块中做日志脱敏，核心是不依赖全局 log_format，而是按需启用定制化脱敏日志格式，适用于敏感接口、静态资源或管理路径等特定场景，比全局配置更精准，避免“一刀切”影响其他流量的调试价值。
在 location 块中做日志脱敏，核心是**不依赖全局 log_format，而是按需启用定制化脱敏日志格式**，适用于敏感接口、静态资源或管理路径等特定场景。它比全局配置更精准，避免“一刀切”影响其他流量的调试价值。
只对特定 location 启用脱敏日志格式
先在 http 块中定义一个专用于脱敏的 log_format（如 secure_static 或 admin_audit），再在目标 location 内用 access_log 显式调用它：
- 确保该
log_format已使用map预处理了敏感字段（如$sanitized_args、$masked_phone、$anonymized_ip） - 在
location中直接绑定，不加if或条件判断，Nginx 会自动生效 - 示例（保护用户头像接口）：
access_log /var/log/nginx/user_avatar.log secure_static;
# 其他 proxy_pass 或 alias 配置...
}
配合 auth_request 实现“验权+脱敏”闭环
对于需鉴权的后台接口（如 /api/v1/users），可在 location 中同时启用权限拦截与审计日志：
- 用
auth_request /auth转发鉴权请求，Nginx 不接触原始凭证 - 日志格式中引用后端透传的脱敏字段（如
$http_x_user_id已由后端掩码）、或用map从$request_uri提取并掩码目标 ID - 避免记录
$args，改用预处理后的$sanitized_args
隔离错误日志，防止敏感信息泄露
location 级别无法直接控制 error_log 内容，但可通过以下方式阻断敏感数据进入：
- 为登录、密码重置等高危接口单独配置
location，启用proxy_intercept_errors on+ 自定义error_page，屏蔽后端原始错误体 - 禁用
proxy_set_header透传$request_body或$http_authorization，防止后端异常堆栈带出明文密码 - 不在此 location 中开启
debug级别日志，也不用echo、log_subrequest等可能暴露参数的模块
静态资源访问的轻量脱敏审计
针对私有文件（PDF、合同等），常搭配 internal 指令使用，此时日志只需记录行为，无需原始参数：
- 定义
location /private/ { internal; alias /data/private/; } - 日志格式中去掉
$args和$http_cookie，只保留$remote_addr、$time_local、$uri、$status - 若 URI 含用户标识（如
/private/u_138****1234_contract.pdf），可用map提前提取并掩码
