Maschera password con Logback?

Question

Attualmente registriamo genericamente tutti i documenti XML in arrivo e in uscita dal nostro sistema e alcuni di essi contengono password in chiaro. Ci piacerebbe essere in grado di configurare il logback logger/appender che sta facendo questo per eseguire alcuni pattern matching o simili e se rileva una password è presente per sostituirlo (con asterischi molto probabilmente). Nota che non vogliamo filtrare la voce del registro, vogliamo mascherarne una parte. Gradirei consigli su come ciò avverrebbe con il logback. Grazie.

Answer 1

La versione di logback 0.9.27 ha introdotto replacement capability. I sostituti supportano le espressioni regolari. Ad esempio, se il messaggio registrato è stato "userid = alice, pswd = 'il mio segreto'", e il modello di produzione è stata

"%d [%t] $logger - %msg%n", 

basta modificare il modello di

"%d [%t] $logger - %replace(%msg){"pswd='.*'", "pswd='xxx'"}%n" 

Si noti che quanto sopra fa uso di option quoting.

Il messaggio di log precedente sarebbe uscita come "userid = alice, pswd = 'xxx'"

Per prestazioni eccezionali, si potrebbe anche segnare la dichiarazione di registro in modo riservato e istruire% sostituire per effettuare la sostituzione solo per i log dichiarazioni contrassegnate come RISERVATE. Esempio,

Marker confidential = MarkerFactory.getMarker("CONFIDENTIAL"); 
logger.info(confidential, "userid={}, password='{}'", userid, password); 

Purtroppo, la versione attuale di logback non ancora supporta le sostituzioni condizionali (sulla base di indicatori o altro). Tuttavia, è possibile scrivere facilmente il proprio codice sostitutivo estendendo ReplacingCompositeConverter. Urla sulla mailing list di logback-user se hai bisogno di ulteriore assistenza.

Answer 2

Credo che il mascheramento sia un aspetto della vostra attività, non l'aspetto di qualsiasi tecnologia o sistema di registrazione. Vi sono situazioni in cui le password, le identità nazionali, ecc. Devono essere mascherate mentre vengono archiviate nel DB, per motivi legali. Dovresti essere in grado di mascherare l'xml prima di darlo al logger.

Un modo per farlo è eseguire l'XML tramite XSLT che esegue tale operazione e quindi assegnarlo al logger per la registrazione.

Se non si desidera eseguire questa operazione, LogBack dispone di Filters support che è una delle opzioni (non quella giusta).

Ma è comprensibile che qualsiasi soluzione generica pronta per l'uso che si sta tentando di trovare a livello di infrastruttura di registrazione sarà subottimale poiché ogni messaggio di registro verrà controllato per il mascheramento.