Question

我正在使用Spray客户端来使用第三方API。不幸的是，我消耗的API不是很安全，并且使用了使用GET查询参数的身份验证方法。有时我们会得到超时或连接问题，我们知道这些问题可以适用。问题是Spray将此记录在WARN日志级别，并且包含敏感查询参数（）的URL正在我们的日志文件中写入。

以下是日志文件的示例。

2015-05-19 12:23:17,024 WARN HttpHostConnectionSlot - Connection attempt to 10.10.10.10:443 failed in response to GET request to /api/?type=keygen&user=test_user&password=S3kret! with 2 retries left, retrying...
2015-05-19 12:23:17,084 WARN HttpHostConnectionSlot - Connection attempt to 10.10.10.10:443 failed in response to GET request to /api/?type=keygen&user=test_user&password=S3kret! with 1 retries left, retrying...

有没有办法过滤这个？（也许在阿卡？）

Answer 1

Spray重复使用akka-logging来完成所有日志记录工作。

在akka中，您可以在应用程序配置中重新声明自定义事件记录器：

akka {
  # event-handlers = ["akka.event.Logging$DefaultLogger"] // default one
  event-handlers = ["com.example.PrivacyLogger"] // custom one
  # Options: ERROR, WARNING, INFO, DEBUG
  loglevel = "DEBUG"
}

看起来像这样：

  class PrivacyLogger extends DefaultLogger {
    override def receive: Receive = {
      case InitializeLogger(_) ⇒ sender() ! LoggerInitialized
      case event: LogEvent     ⇒ print(stripSecret(event))
    }
    private def stripSecret(event:LogEvent) = ...
  }

但是你总是可以在这里实现自己的消息处理逻辑，而不是简单的打印。

PS。如果你使用slf4j进行日志记录，那么解决方案看起来大致相同，但有一些细微差别，例如覆盖akka.event.slf4j.Slf4jEventHandler而不是DefaultLogger。

Spray.io日志泄漏敏感信息

1 个答案: