4. 数据泄露场景二：日志（Logs）内容泄露——日志中打印了其他租户的敏感字段

日志是后端可观测性的核心支柱之一，但也是最容易被忽视的数据泄露通道。当开发人员在代码中直接打印请求体、数据库查询结果或第三方响应时，如果未对多租户上下文进行严格过滤，其他租户的敏感字段（如身份证号、手机号、API Key、内部Token）就会以明文形式写入日志文件，进而被日志采集、存储、检索系统无差别暴露。

4.1 泄露路径与风险模型

日志内容泄露通常发生在以下三个环节：

• 应用层打印：开发者在 log.info() 或 System.out.println() 中直接拼接了包含其他租户数据的对象。
• 日志采集管道：Filebeat / Fluentd 等采集器未对日志行进行脱敏处理，原样上传到 Elasticsearch 或 Loki。
• 日志存储与检索：日志索引未设置字段级权限，任何拥有日志查询权限的租户或运维人员均可检索到所有租户的敏感字段。

4.2 日志泄露的常见模式对比

4.3 日志内容泄露的故障排查流程

当怀疑日志中存在跨租户敏感字段泄露时，建议按以下步骤排查：

1. 确认日志索引的租户隔离策略：检查日志存储系统（如 Elasticsearch）是否按租户 ID 分索引或使用字段级安全（FLS）。
2. 扫描日志样本中的敏感模式：使用正则或 DLP 工具扫描最近 24 小时的日志行，匹配身份证、手机号、Token 等模式。
3. 定位打印源头：通过日志行中的类名、方法名、行号，反向定位到源代码中的日志打印语句。
4. 审查日志上下文：检查该日志语句是否在请求处理链中，是否可能携带其他租户的数据（如从 ThreadLocal 或共享缓存中读取）。
5. 验证泄露影响范围：查询日志检索系统的访问审计，确认哪些租户或用户曾查询过包含敏感字段的日志索引。

4.4 日志脱敏架构设计

下图展示了一个具备租户隔离能力的日志脱敏架构，从应用层到存储层逐级过滤敏感字段：

4.5 代码级防护示例

以下 Java 示例展示了如何在日志打印前对敏感字段进行脱敏：

// 错误做法：直接打印整个对象
log.info("User registration: {}", user);  // 泄露 password, ssn

// 正确做法：使用脱敏工具类
public class LogSanitizer {
    private static final Pattern SENSITIVE_FIELDS = 
        Pattern.compile("(password|ssn|creditCard|token)=\\S+", Pattern.CASE_INSENSITIVE);
    
    public static String sanitize(String input) {
        return SENSITIVE_FIELDS.matcher(input)
            .replaceAll(match -> match.group(1) + "=***");
    }
}

// 在日志打印时调用
log.info("User registration: {}", LogSanitizer.sanitize(user.toString()));

4.6 日志泄露的监控与告警

建立实时监控机制，在日志泄露造成影响前及时发现：

• 敏感字段出现频率监控：在日志采集管道中统计“身份证号”等模式的出现次数，超过基线时触发告警。
• 跨租户查询审计：在日志检索系统（如 Kibana）中记录每个查询的 tenant_id 和查询范围，定期审计是否存在跨索引查询。
• 日志大小异常检测：如果某个租户的日志量突然暴增，可能意味着有循环打印敏感数据的情况。

下图展示了日志泄露监控的告警流程：

4.7 关键检查清单