请求参数通过 spring 启动应用程序的嵌入式码头服务器记录在访问日志中

Question

我的应用程序出现问题，它记录请求及其查询参数，访问日志中可能包含敏感数据。应用程序配置有 logback.xml 和嵌入式码头。

jetty 服务器使用以下 accessLogCustomer 进行自定义

public JettyServerCustomizer accessLogCustomizer() {
  return server -> {
    Slf4jRequestLog requestLog = new Slf4jRequestLog();
    requestLog.setExtended(true);
    requestLog.setLogLatency(true);
    requestLog.setPreferProxiedForAddress(true);
    requestLog.setLogTimeZone(userTimezone == null ? ZoneId.systemDefault().getId() : userTimezone);
    requestLog.setLogDateFormat("Y-MM-dd HH:mm:ss, SSS Z");

    RequestLogHandler requestLogHandler = new RequestLogHandler();
    requestLogHandler.setRequestLog(requestLog);
    requestLogHandler.setHandler(server.getHandler());
    server.setHandler(requestLogHandler);
  };
}

logback.xml

    <appender name="access" class="ch.qos.logback.core.rolling.RollingFileAppender">
        <File>${logs.dir}/abc-access.log</File>
        <encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
            <layout class="ch.qos.logback.classic.PatternLayout">
                <Pattern>%m %n</Pattern>
            </layout>
            <charset>UTF-8</charset>
        </encoder>
        <rollingPolicy class="ch.qos.logback.core.rolling.TimeBasedRollingPolicy">
            <FileNamePattern>${logs.dir}/abc-access.%d.log.gz</FileNamePattern>
        </rollingPolicy>
    </appender>

    <logger name="org.eclipse.jetty.server.RequestLog" additivity="false">
        <appender-ref ref="access"/>
    </logger>

请求记录在访问日志中

192.168.0.100 - - [2021-05-20 15:48:15,093 +0530] "POST /myAPI/v2/customer/message?myID=123&messageText=hello HTTP/1.0" 200 0 "-" "PostmanRuntime/7.26.8" 475

我试图避免访问日志中的 messageText，但没有得到任何解决方案。

Answer 1

改用 CustomRequestLog 和 Slf4jRequestLogWriter。

您需要特殊格式选项 %U，它发出 URL 路径，没有查询字符串（可以作为 %q btw）

您生成的配置如下所示...

Slf4jRequestLogWriter slfjRequestLogWriter = new Slf4jRequestLogWriter();
String format = "%{client}a - %u %t %m \"%U\" %s %O \"%{Referer}i\" \"%{User-Agent}i\"";
CustomRequestLog customRequestLog = new CustomRequestLog(slfjRequestLogWriter, format);
server.setRequestLog(customRequestLog);

使用格式行，阅读 the Javadoc on CustomRequestLog 了解您可以做什么。

一些注意事项：

示例格式没有严格遵循扩展 NCSA 格式（因为它缺少 HTTP 版本部分，并且 HTTP 方法在引用部分之外，但这对许多用户来说通常不是问题）
Slf4jRequestLogWriter 只关心格式化日志行并将其发送到 slf4j-api，它什么都不做。
RequestLogHandler 已弃用，不再推荐使用（因为它不会记录错误请求和无上下文请求），请改用 Server.setRequestLog(RequestLog)。

Jetty 将使用 CustomRequestLog 的模式生成一个字符串，该字符串作为 slf4j 日志记录事件消息转发到 Slf4jRequestLogWriter，然后根据您现有的 slf4j + logback 配置进行记录。

请求参数通过 spring 启动应用程序的嵌入式码头服务器记录在访问日志中

Request param is logged in access log with embedded jetty server of spring boot application

regex

spring-boot

logback

embedded-jetty

access-log