日志脱敏是实时替换敏感内容而非删除字段，通过Nginx的map+log_format实现请求参数动态掩码、IP哈希匿名化、Referer清洗、禁用高危变量及敏感接口独立日志格式。
日志脱敏不是“删字段”，而是“改内容”——在日志写入磁盘前，用 Nginx 原生能力对敏感值做实时替换或截断，既保留结构化信息用于排障，又避免明文存储密码、手机号、身份证号、Cookie、Token 等违规字段。
用 map + log_format 实现请求参数动态掩码
这是最常用、最轻量的脱敏方式。不依赖模块，不修改后端，所有处理都在 Nginx 配置层完成：
- 在 http 块中定义映射规则，识别并替换 URL 参数中的敏感键值：
map $args $sanitized_args {
default $args;
~*(password|token|access_token|api_key)=([^&\s]+) "***";
~*(mobile|phone|tel)=([^&\s]+) "***";
} - 在 log_format 中引用该变量，而不是直接写 $args：
log_format secure '$remote_addr - $remote_user [$time_local] "$request_method $uri?$sanitized_args $http_version" $status $body_bytes_sent'; - 这样，
/login?user=admin&password=123456在日志里就变成GET /login?user=admin&password=*** HTTP/1.1，结构清晰，凭证已掩。
对客户端 IP 和 Referer 做可控匿名化
完整 IP 属于个人信息，Referer 可能带手机号或邮箱参数，不能直接丢弃，但可分级处理：
- IP 地址建议哈希后取前 8 位（不可逆、防碰撞）：
map $remote_addr $anonymized_ip { default md5($remote_addr); }
log_format ... '$anonymized_ip:0:8' ...; - Referer 若含敏感参数，单独清洗：
map $http_referer $sanitized_referer {
default $http_referer;
~*([?&](mobile|tel|email)=[^&]*) "";
} - 也可按内网段过滤：匹配 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 的 IP 统一记为
[internal]，兼顾审计与隐私。
禁用高危变量，只显式记录可信字段
默认 combined 格式太“诚实”，容易把不该记的内容全写进去。安全日志应遵循“最小必要”原则：
- 彻底移除这些变量：
$http_cookie、$http_authorization、$request_body、$http_user_agent（UA 字符串可能含设备 ID 或手机号）； - 只保留结构化、低风险字段，例如：
log_format strict '$time_iso8601 | $status | $request_method | $uri | $body_bytes_sent | $upstream_response_time | $upstream_addr'; - 如果必须记录来源 IP，优先用
$realip_remote_addr（需配合 realip 模块），而非不可信的$http_x_forwarded_for。
针对敏感接口启用独立脱敏日志格式
不是所有接口都需要同样强度的脱敏。登录、重置密码、用户资料等路径，应单独配置更严格的日志策略：
- 在对应 location 中绑定专用日志格式：
location = /api/v1/user/login {
access_log /var/log/nginx/auth.log auth_secure;
proxy_pass http://backend;
} - 该
auth_secure格式可进一步剔除$http_referer、禁用$args，只留方法、URI、状态码、耗时和匿名 IP； - 搭配
proxy_intercept_errors on+ 自定义error_page，防止后端错误响应体（如含原始 POST 数据）意外落入 error_log。
