请求参数通过 spring 启动应用程序的嵌入式码头服务器记录在访问日志中

Request param is logged in access log with embedded jetty server of spring boot application

我的应用程序出现问题,它记录请求及其查询参数,访问日志中可能包含敏感数据。应用程序配置有 logback.xml 和嵌入式码头。

jetty 服务器使用以下 accessLogCustomer 进行自定义

public JettyServerCustomizer accessLogCustomizer() {
  return server -> {
    Slf4jRequestLog requestLog = new Slf4jRequestLog();
    requestLog.setExtended(true);
    requestLog.setLogLatency(true);
    requestLog.setPreferProxiedForAddress(true);
    requestLog.setLogTimeZone(userTimezone == null ? ZoneId.systemDefault().getId() : userTimezone);
    requestLog.setLogDateFormat("Y-MM-dd HH:mm:ss, SSS Z");

    RequestLogHandler requestLogHandler = new RequestLogHandler();
    requestLogHandler.setRequestLog(requestLog);
    requestLogHandler.setHandler(server.getHandler());
    server.setHandler(requestLogHandler);
  };
}

logback.xml

    <appender name="access" class="ch.qos.logback.core.rolling.RollingFileAppender">
        <File>${logs.dir}/abc-access.log</File>
        <encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
            <layout class="ch.qos.logback.classic.PatternLayout">
                <Pattern>%m %n</Pattern>
            </layout>
            <charset>UTF-8</charset>
        </encoder>
        <rollingPolicy class="ch.qos.logback.core.rolling.TimeBasedRollingPolicy">
            <FileNamePattern>${logs.dir}/abc-access.%d.log.gz</FileNamePattern>
        </rollingPolicy>
    </appender>
    <logger name="org.eclipse.jetty.server.RequestLog" additivity="false">
        <appender-ref ref="access"/>
    </logger>

请求记录在访问日志中

192.168.0.100 - - [2021-05-20 15:48:15,093 +0530] "POST /myAPI/v2/customer/message?myID=123&messageText=hello HTTP/1.0" 200 0 "-" "PostmanRuntime/7.26.8" 475

我试图避免访问日志中的 messageText,但没有得到任何解决方案。

改用 CustomRequestLogSlf4jRequestLogWriter

您需要特殊格式选项 %U,它发出 URL 路径,没有查询字符串(可以作为 %q btw)

您生成的配置如下所示...

Slf4jRequestLogWriter slfjRequestLogWriter = new Slf4jRequestLogWriter();
String format = "%{client}a - %u %t %m \"%U\" %s %O \"%{Referer}i\" \"%{User-Agent}i\"";
CustomRequestLog customRequestLog = new CustomRequestLog(slfjRequestLogWriter, format);
server.setRequestLog(customRequestLog);

使用格式行,阅读 the Javadoc on CustomRequestLog 了解您可以做什么。

一些注意事项:

  • 示例格式没有严格遵循扩展 NCSA 格式(因为它缺少 HTTP 版本部分,并且 HTTP 方法在引用部分之外,但这对许多用户来说通常不是问题)
  • Slf4jRequestLogWriter 只关心格式化日志行并将其发送到 slf4j-api,它什么都不做。
  • RequestLogHandler 已弃用,不再推荐使用(因为它不会记录错误请求和无上下文请求),请改用 Server.setRequestLog(RequestLog)

Jetty 将使用 CustomRequestLog 的模式生成一个字符串,该字符串作为 slf4j 日志记录事件消息转发到 Slf4jRequestLogWriter,然后根据您现有的 slf4j + logback 配置进行记录。