敏感操作必须走独立审计日志通道，需单独初始化*log.logger写入专用文件，每条日志含时间、操作人id、资源路径、方法、类型、结果，强制脱敏、结构化键值格式、严格文件权限。
敏感操作必须走独立审计日志通道，不能混用业务日志
业务日志和审计日志语义不同：前者用于排障，后者用于追责。Gin 的 gin.Default() 或 gin.New() 自带的 logger 是为 HTTP 请求生命周期服务的，写入的是访问日志或错误堆栈，不满足审计要求（如不可篡改、字段强制、独立存储）。直接用 c.Logger() 或 log.Printf() 记敏感操作，会导致审计线索缺失、时间戳不准、无法关联操作人身份。
实操建议：
- 为审计日志单独初始化一个
*log.Logger实例，输出到专用文件（如/var/log/myapp/audit.log），禁用轮转以外的所有格式化（避免解析困难） - 每条审计日志必须包含：操作时间（
time.Now().UTC().Format(time.RFC3339)）、操作人 ID（从 JWT 或 context 提取，非用户名）、资源路径（如/api/v1/users/123）、HTTP 方法、操作类型（"delete_user"）、结果（"success"或"failed: invalid_permission"） - 禁止在审计日志中打印原始请求体或响应体——脱敏后只留关键字段（如
"user_id=123, role=ADMIN"）
在 Gin 中间件里提取并校验操作人身份，再透传给审计逻辑
审计日志的价值高度依赖操作人身份的真实性。如果中间件没做鉴权就写日志，"operator_id=anonymous" 这类记录等于无效。Gin 本身不绑定认证方案，必须自己在中间件里完成解析、校验、注入。
实操建议：
- 用
c.Get("user_id")从 context 取身份，而不是每次重新解析 token——确保审计日志和业务逻辑看到的是同一份可信凭证 - 在鉴权中间件末尾统一调用
c.Set("audit_fields", map[string]interface{}{"operator_id": uid, "client_ip": c.ClientIP()})，避免下游 handler 重复提取 - 若使用
github.com/golang-jwt/jwt/v5，注意验证exp和iss，且密钥必须从环境变量加载，不可硬编码；否则审计日志虽写了operator_id=1001，但实际是伪造 token
用 defer + recover 捕获 panic 后仍能写入审计日志
敏感操作执行中若发生 panic（如数据库连接中断、空指针），默认的 Gin recovery 中间件会吞掉错误并返回 500，但审计日志可能根本没写——因为 panic 发生在业务逻辑中途，defer 未执行到审计写入点。
实操建议：
- 在敏感操作 handler 开头立即
defer一个匿名函数，内部用recover()捕获，并强制调用审计写入函数（传入result="panic: ..."） - 审计写入函数本身必须是“尽力而为”：打开文件失败时，至少把日志打到 stderr（
log.New(os.Stderr, "[AUDIT] ", 0)），保证不静默丢弃 - 不要在 defer 里做耗时操作（如 HTTP 调用、DB 查询），审计日志写入必须是同步、低延迟的 syscall 级别（
os.WriteFile或file.WriteString）
审计日志内容需结构化，但不用 JSON 全量序列化
纯文本审计日志难解析，全量 JSON 又冗余（含大量无意义字段）、体积大、易被篡改（JSON 字段顺序不固定）。折中做法是固定字段顺序的键值对格式，兼容 grep、awk、ELK 解析。
实操建议：
- 日志行格式严格为：
ts=2024-05-22T08:30:45Z op=delete_user rid=abc123 uid=789 ip=203.0.113.5 res=failed: db_timeout - 字段名用短小英文（
ts,op,rid,uid,ip,res），全部小写+下划线，避免空格和特殊字符 - 不写
{"ts":"...","op":"..."}这类 JSON——ES ingest pipeline 或 filebeat 都支持 kv 模式解析，没必要增加序列化开销 - 敏感值（如手机号、身份证号）必须在拼接进日志前脱敏：
maskPhone("13812345678") → "138****5678"，且该函数不可绕过
最易被忽略的一点：审计日志文件权限必须设为 600，且由 root 或专用 audit 用户拥有。Gin 进程以普通用户运行时，若日志目录可被其他进程写入，攻击者可能覆盖或截断日志。
