如何避免在日志中打印敏感信息（如 Token、密码）？

标准回答

避免敏感日志最好从字段选择开始，而不是事后靠正则猜哪些内容该打码。

记录“登录失败，错误码 401”通常够用，不必打印密码、完整 Authorization 或完整用户资料；异常对象也可能带请求内容。

**敏感信息会藏在哪里：**除了显式的密码，完整请求头、URL 查询参数、接口响应、设备标识和异常文本也可能带敏感数据，统一日志工具也不能自动识别所有业务字段。

**怎样兼顾定位：**按字段脱敏或只记录必要摘要，用 requestId 串起流程。上报前与本地输出都要检查，不能仅在最终展示时遮住已经上传的明文。