前言

金融用戶敏感數據如何優雅地實現脫敏？

日志脫敏之后，無法根據信息快速定位怎么辦？

經過了這兩篇文章之后，我們對日志脫敏應該有了一定的理解。

但是實際項目中，我們遇到的情況往往更加復雜：

1）項目的 JAVA bean 定義不規范，大量接口使用 map。

2）歷史項目眾多，改造成本巨大。

種種原因，導致使用注解的方式耗費大量的時間。但是一般給我們改造的時間是有限的。

那么，有沒有一種方法可以統一對敏感信息進行脫敏處理呢？

答案是有的，我們可以基于 log4j2 實現自己的脫敏策略，統一實現日志的脫敏。

log4j2 Rewrite

我們可以基于 log4j2 RewritePolicy 統一使用脫敏策略。

本項目自 V1.2.0 添加對應支持，后續將提升對應的可拓展性。

說明：如果使用 slf4j 接口，實現為 log4j2 時也是支持的。

使用入門

maven 引入

引入核心脫敏包。

<dependency>
    <groupId>com.Github.houbb</groupId>
    <artifactId>sensitive-log4j2</artifactId>
    <version>1.2.1</version>
</dependency>

其他的一般項目中也有，如 log4j2 包：

<dependency>
    <groupId>org.Apache.logging.log4j</groupId>
    <artifactId>log4j-api</artifactId>
    <version>${log4j2.version}</version>
</dependency>
<dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-core</artifactId>
    <version>${log4j2.version}</version>
</dependency>

log4j2.xml 配置

例子如下:

<?xml version="1.0" encoding="UTF-8"?>
<Configuration status="WARN" packages = "com.github.houbb.sensitive.log4j2.rewrite">
    <Appenders>
        <Console name="Console" target="SYSTEM_OUT">
        </Console>
        <Rewrite name="rewrite">
            <AppenderRef ref="Console"/>
            <SensitiveRewritePolicy/>
        </Rewrite>
    </Appenders>
    <Loggers>
        <Root level="DEBUG">
            <AppenderRef ref="rewrite" />
        </Root>
    </Loggers>
</Configuration>

幾個步驟：

指定 package 為 packages = "com.github.houbb.sensitive.log4j2.rewrite"

按照 log4j2 Rewrite 規范，指定重寫策略為 SensitiveRewritePolicy

輸出時，直接指定為對應的重寫之后的結果 <AppenderRef ref="rewrite" />

測試

正常的日志打印：

private static final String TEST_LOG = "mobile:13088887777; bankCard:6217004470007335024, emAIl:[email protected], amount:123.00, " +
        "IdNo:340110199801016666, name1:李明, name2:李曉明, name3:李澤明天, name4:山東小栗旬" +
        ", birthday:20220517, GPS:120.882222, IPV4:127.0.0.1, address:中國上海市徐匯區888號;";


logger.info(TEST_LOG);

自動脫敏效果如下：

mobile:130****7777|9FC4D36D63D2B6DC5AE1297544FBC5A2; bankCard:6217***********5024|444F49289B30944AB8C6C856AEA21180, email:mahu*****@qq.com|897915594C94D981BA86C9E83ADD449C, amount:123.00, IdNo:3****************6|F9F05E4ABB3591FC8EA481E8DE1FA4D6, name1:李*|15095D14367F7F02655030D498A4BA03, name2:李**|035E3C0D1A0410367FE6EB8335B2BFDE, name3:李澤**|B87138E5E80AEC87D2581A25CAA3809D, name4:山東***|6F2178D34BC7DD0A07936B5AFF39A16F, birthday:********|1F88D983FAFC50022651122B42F084A0, GPS:**********|E281A9A52DE915154285148D68872CA2, IPV4:127******|F528764D624DB129B32C21FBCA0CB8D6, address:中國上海市徐******|821A601949B1BD18DCBAAE27F2E27147;

ps: 這里是為了演示各種效果，實際默認對應為 1,2,3,4 這幾種策略。

log4j2 配置定制化

為了滿足各種用戶的場景，在 V1.2.1 引入了 SensitiveRewritePolicy 策略的可配置化。

默認配置

log4j2 配置中，SensitiveRewritePolicy 配置默認等價于

<SensitiveRewritePolicy
        prefix=":='""
        scanList = "1,2,3,4"
        replaceList = "1,2,3,4"
        defaultReplace = "12"
        replaceHash = "md5"
/>

屬性說明

SensitiveRewritePolicy 策略的屬性說明。

屬性	說明	默認值	備注
prefix	需要脫敏信息的匹配前綴	:='"	降低誤判率
replaceHash	哈希策略模式	md5	支持 md5/none 兩種模式
scanList	敏感掃描策略列表	1,2,3,4	1~10 內置的10種敏感信息掃描策略，多個用逗號隔開
replaceList	敏感替換策略列表	1,2,3,4	1~10 內置的10種敏感信息替換策略，多個用逗號隔開
defaultReplace	敏感替換默認策略	12	1~13 內置的13種敏感信息替換策略，指定一個。當列表沒有匹配時，默認使用這個

其中 1-13 的內置策略說明如下：

策略標識	說明
1	手機號
2	身份證
3	銀行卡
4	郵箱
5	中國人名
6	出生日期
7	GPS
8	IPV4
9	地址
10	護照
11	匹配任意不掩蓋
12	匹配任意半掩蓋
13	匹配任意全掩蓋