必须在请求解析前修改c.request().url.rawquery或重写body，因context仅是http.request封装，删queryparam等只读缓存无效；日志和错误响应也需同步脱敏。
中间件里怎么安全地过滤 query 参数
直接在 c.QueryParam() 之后做字符串替换或删除是无效的 —— 因为参数已进入上下文，后续 handler 仍可读取原始值。真正有效的过滤必须在请求解析前拦截并修改 c.Request().URL 或其查询字符串。
推荐做法：用中间件包装 next，在调用前重写 Request.URL.RawQuery，移除敏感键（如 token、password、api_key）：
func filterSensitiveQuery(next echo.HandlerFunc) echo.HandlerFunc {
return func(c echo.Context) error {
req := c.Request()
q := req.URL.Query()
for _, key := range []string{"token", "password", "api_key"} {
q.Del(key)
}
req.URL.RawQuery = q.Encode()
return next(c)
}
}
注意：q.Encode() 会自动 URL 编码，无需手动处理空格或特殊字符；但若原始 URL 已含非标准编码（如双 encode），需先 url.QueryUnescape 再重编，否则可能破坏参数结构。
为什么不能只删 Context 里的 Param 或 QueryParam
因为 c.Param() 和 c.QueryParam() 是只读缓存，它们从 Request.URL 或路由匹配中提取，不参与实际请求流控制。删掉它们对日志、审计、下游中间件或业务 handler 完全无影响 —— 后者仍能通过 c.Request().URL.Query().Get("token") 拿到原始值。
常见错误现象包括：
- 日志中间件仍打印出完整 query 字符串，含
?token=xxx&user=id - 审计中间件记录了未过滤的原始请求路径
- 下游 JWT 解析逻辑意外读取到被“假装删除”的
token查询参数
根本原因：Echo 的 Context 不持有请求数据的唯一副本，它只是 http.Request 的轻量封装层。
带 body 的 POST/PUT 请求如何过滤敏感字段
query 过滤靠改 URL，body 过滤则必须提前读取、解析、脱敏、再重写 Body。但要注意：body 只能读一次，且 c.Bind() 依赖原始流。
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
实操建议分三步：
- 用
ioutil.ReadAll(c.Request().Body)读取原始字节（记得 deferc.Request().Body.Close()） - 尝试 JSON 解析，对已知敏感字段（如
password、credit_card）设为空或掩码（"***"） - 用
bytes.NewReader(modifiedBytes)替换c.Request().Body，并重置Content-Length头
示例关键行：
body, _ := io.ReadAll(c.Request().Body)
c.Request().Body.Close()
var data map[string]interface{}
json.Unmarshal(body, &data)
if _, ok := data["password"]; ok {
data["password"] = "***"
}
newBody, _ := json.Marshal(data)
c.Request().Body = io.NopCloser(bytes.NewReader(newBody))
c.Request().Header.Set("Content-Length", strconv.Itoa(len(newBody)))
⚠️ 风险提示：该方式不兼容 streaming body 或 multipart 表单；如需支持 form-data，应改用 c.FormValue() + 显式忽略敏感字段，而非重写整个 body。
过滤后还要注意日志和错误响应泄露
即使请求参数已过滤，middleware.Logger 默认仍会打印完整 Request.URL.String()，导致脱敏失效。必须自定义 logger 或禁用 query 日志：
e.Use(middleware.LoggerWithConfig(middleware.LoggerConfig{
Skipper: func(c echo.Context) bool {
return false // 或按路径跳过
},
Format: `"time":"${time_rfc3339}","method":"${method}","uri":"${uri}","status":${status}` + "\n",
}))
另外，当 handler 抛出错误并触发 HTTPErrorHandler 时，若错误消息拼接了原始 query（如 "invalid token in "+c.Request().URL.RawQuery），也会泄露。务必检查所有自定义错误构造逻辑，避免直接暴露原始请求片段。
最易被忽略的一点：测试时用 curl 发起带敏感参数的请求，却只验证 handler 返回，没检查 access log 和 error log 是否真的不含敏感词 —— 这类漏测在上线后常被安全扫描工具直接告警。
