请求参数被记录在带有 Spring Boot 应用程序的嵌入式码头服务器的访问日志中

如何解决请求参数被记录在带有 Spring Boot 应用程序的嵌入式码头服务器的访问日志中

我的应用程序出现问题，它记录请求及其查询参数，其中可能包含访问日志中的敏感数据。应用程序配置了 logback.xml 和嵌入式码头。

jetty server 自定义如下 accessLogCustomer

public JettyServerCustomizer accessLogCustomizer() {
  return server -> {
    Slf4jRequestLog requestLog = new Slf4jRequestLog();
    requestLog.setExtended(true);
    requestLog.setLogLatency(true);
    requestLog.setPreferProxiedForAddress(true);
    requestLog.setLogTimeZone(userTimezone == null ? ZoneId.systemDefault().getId() : userTimezone);
    requestLog.setLogDateFormat("Y-MM-dd HH:mm:ss,SSS Z");

    RequestLogHandler requestLogHandler = new RequestLogHandler();
    requestLogHandler.setRequestLog(requestLog);
    requestLogHandler.setHandler(server.getHandler());
    server.setHandler(requestLogHandler);
  };
}

logback.xml

    <appender name="access" class="ch.qos.logback.core.rolling.RollingFileAppender">
        <File>${logs.dir}/abc-access.log</File>
        <encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
            <layout class="ch.qos.logback.classic.PatternLayout">
                <Pattern>%m %n</Pattern>
            </layout>
            <charset>UTF-8</charset>
        </encoder>
        <rollingPolicy class="ch.qos.logback.core.rolling.TimeBasedRollingPolicy">
            <FileNamePattern>${logs.dir}/abc-access.%d.log.gz</FileNamePattern>
        </rollingPolicy>
    </appender>

    <logger name="org.eclipse.jetty.server.RequestLog" additivity="false">
        <appender-ref ref="access"/>
    </logger>

请求登录访问日志

192.168.0.100 - - [2021-05-20 15:48:15,093 +0530] "POST /myAPI/v2/customer/message?myID=123&messageText=hello HTTP/1.0" 200 0 "-" "PostmanRuntime/7.26.8" 475

我试图避免访问日志中的 messageText，但没有得到任何解决方案。

解决方法

改用 CustomRequestLog 和 Slf4jRequestLogWriter。

您需要特殊的格式选项 %U，它发出 URL 路径，没有查询字符串（顺便说一下，它可以作为 %q 使用）

你得到的配置看起来像这样......

Slf4jRequestLogWriter slfjRequestLogWriter = new Slf4jRequestLogWriter();
String format = "%{client}a - %u %t %m \"%U\" %s %O \"%{Referer}i\" \"%{User-Agent}i\"";
CustomRequestLog customRequestLog = new CustomRequestLog(slfjRequestLogWriter,format);
server.setRequestLog(customRequestLog);

玩转格式行，阅读the Javadoc on CustomRequestLog以了解您可以做什么。

一些注意事项：

• 示例格式并未严格遵循扩展 NCSA 格式（因为它缺少 HTTP 版本部分，并且 HTTP 方法在引用部分之外，但这对许多用户来说通常不是问题）
• Slf4jRequestLogWriter 只关心获取格式化的日志行并将其发送到 slf4j-api，它不执行其他任何操作。
• RequestLogHandler 已弃用，不再推荐使用（因为它不会记录错误请求和无上下文请求），请改用 Server.setRequestLog(RequestLog)。

Jetty 将使用 CustomRequestLog 的 Pattern 生成一个字符串，该字符串作为 slf4j 日志事件消息转发到 Slf4jRequestLogWriter，然后根据您现有的 slf4j + logback 配置进行记录。