Секреты: маскирование и ПДн

Категория доступа — самая чувствительная, потому что утечка здесь равна передаче ключей. Пароль не логируется никогда, даже маскированным: маска выдаёт длину и крайние символы, а для перебора это подсказка, а не защита. Токен доступа — маскируется: две первые и две последние литеры дают возможность сопоставить записи между собой, не раскрывая значения. Заголовок Authorization пишется только схемой — Bearer без самого значения; если хотите показать, что аутентификация была, поле auth со значением bearer стоит дешевле и безопаснее. Кука сессии заменяется session_id — идентификатором без подписи, по которому сессию не восстановить. Строка запроса из урока про HTTP-логи — отдельная ловушка: r.URL.RawQuery регулярно тащит токены сброса пароля и приглашений, поэтому по умолчанию логируется только путь; у этого правила длинная история, и оно разобрано в уроке про HTTP-логи. Категория ПДн — фамилия, имя, телефон, почта, адрес, паспорт: то, что 152-ФЗ называет персональными данными. Если такие значения осели в логах, архив становится хранилищем ПДн со всеми требованиями закона: основание обработки, уровни защищённости, сроки, реакция на запросы субъектов. Требование «удалите всё обо мне» в неизменяемом лог-архиве технически невыполнимо — дешевле, чтобы там этого никогда не было.

Механика поля объясняет, почему хук не спасёт. Вызов Str дописывает в буфер события готовые JSON-байты немедленно — ключ, кавычки, значение; никакого промежуточного представления, которое можно было бы отредактировать, не существует. Хук получает событие уже после ваших полей: его Run вызывается в момент Msg, когда буфер собран, а сам буфер — неприватное поле структуры, снаружи пакета zerolog его не прочитать. Доступные хуку операции — дописать собственные ключи в конец и отменить запись целиком; переписать или удалить чужое поле он не может технически. Поэтому маскирование живёт на стороне вызывающего кода, там, где про значение всё известно: функция mask рядом с местом, где строка появилась, а лучше — хелпер уровня пакета, единственная точка, через которую контакт или токен вообще попадает в лог. Такой хелпер заодно решает проблему забывчивости: если в кодовой базе нет ни одного прямого Str с контактным полем, маскировать нечего — точка входа одна, и она уже маскирует. Ключи при этом держите в константах, как договаривались в уроке про поля события: строковый литерал, продублированный в десяти местах, — это десять шансов опустить маску.

Хук — интерфейс из одного метода: Run(e *Event, level Level, message string). Логгер принимает хуки методом Hook, который, как и With, возвращает копию — value-семантика, копию можно свободно раздавать горутинам. Выполняются хуки в момент финализации, при Msg, Msgf или Send, и раньше, чем message дописывается в буфер: хук видит текст сообщения параметром, а не полем. Отсюда честные сценарии. Вентиль: если в тексте сообщения встретилось слово, которого в логах быть не должно, событие отбрасывается целиком — e.Discard() помечает событие отключённым, и write пропускает его без записи; это ровно то, что написано в док-комментарии: Discard отключает событие, чтобы Msg его не напечатал. Дозапись: хук добавляет общие поля — имя окружения, версию сборки, — они ложатся после ваших полей и до message. Маркер: событие, прошедшее гейт, хук может пометить флагом, чтобы на стороне сбора отличать отфильтрованное. Для точечной настройки есть LevelHook и адаптер HookFunc из обычной функции — гейт вешается только на Debug, не трогая остальные уровни. Несколько хуков на одном логгере выполняются в порядке добавления, и каждый вызов Hook возвращает новую копию: собирайте набор хуков один раз на старте, вместе с контекстом и уровнем, а не в горячем пути.

Замена работает лучше запрета: вместо списка «нельзя» — список «пишем вместо этого». Пользователь — user_id: обезличенный идентификатор сшивает записи так же надёжно, как почта, и не является ПДн. Контакт — маской, и только там, где дежурному правда нужно опознать человека: разбор обращения в поддержку. Токен — маской ради корреляции записей одного клиента. Сессия — session_id без подписи. Карта — последними четырьмя цифрами: отраслевой стандарт, и для разбора инцидента этого достаточно. Ревью-чеклист короткий: посчитайте в диффе вызовы Str, чьё значение приходит из заголовков, форм или тел запросов; каждый такой вызов — кандидат в маскирование или в идентификатор. Следующий рубеж — тест: программа, которая пишет события в буфер и сканирует вывод на слова-маркеры вроде password, authorization, bearer; механика таких проверок — тема урока про тестирование логов. Последняя линия — правила маскирования на стороне сборщика: пайплайн умеет вырезать и заменять значения уже после записи. Это лечение симптома: строка покинула процесс, копии разъехались по узлам, и гарантий, что вычистили всё, нет. Сборщик смягчает аварию, но не отменяет дисциплину в коде.

Следующий урок — структура JSON: имена level, time и message, вложенность через Dict и Array и почему системе сбора нужна плоская структура. Затем — тесты логов: буфер вместо writer-а и сканирование вывода на слова-маркеры из этого урока. Про то, как выглядит доступ и хранение на настоящем сервере, — логи на проде: роли читателей, ретенция и то, что из этого урока превращается в настройки инфраструктуры.