数据安全新范式：Hanko如何用掩码技术守护敏感信息

数据安全新范式：Hanko如何用掩码技术守护敏感信息

【免费下载链接】hanko Auth and user management for the passkey era 项目地址: https://gitcode.com/GitHub_Trending/ha/hanko

为什么数据脱敏比加密更重要？

当用户登录日志中出现完整邮箱user@example.com，当审计记录包含未处理的手机号，这些"微小疏忽"可能导致GDPR罚款或用户信任危机。Hanko作为面向密码钥匙时代的身份认证系统，其数据脱敏技术通过动态掩码算法和场景化保护策略，在不影响业务功能的前提下，实现敏感信息全生命周期保护。

核心实现：从工具函数到审计日志

1. 通用脱敏工具包：mask.go的精妙设计

Hanko的脱敏逻辑集中在utils/mask.go，提供邮箱和用户名两种核心脱敏算法：

邮箱脱敏算法

func MaskEmail(email string) string {
    tmp := strings.Split(email, "@")
    name := tmp[0]
    domain := tmp[1]
    
    if len(name) <= 6 {
        return name[:1] + strings.Repeat("*", 6 - len(name) + len(name)-1) + "@" + domain
    }
    return name[:3] + strings.Repeat("*", len(name)-3) + "@" + domain
}

效果对比： | 原始数据 | 脱敏结果 | 保护原理 | |----------|----------|----------| | a@example.com | a*****@example.com | 首字符保留+6位掩码 | | alice@example.com | ali*****@example.com | 前3字符保留+剩余掩码 | | johndoe123@example.com | joh********@example.com | 动态适配长度变化 |

用户名脱敏算法

func MaskUsername(username string) string {
    if len(username) == 1 {
        return "*"
    }
    padLength := 0
    if len(username) <=3 {
        padLength = 6 - len(username)
    }
    return username[:1] + strings.Repeat("*", len(username)-2 + padLength) + username[len(username)-1:]
}

2. 审计日志中的脱敏实践

审计日志作为敏感操作记录的关键组件，在audit_log/logger.go中实现了系统化脱敏：

func (l *logger) mask(auditLog models.AuditLog) models.AuditLog {
    // 处理用户邮箱
    if auditLog.ActorEmail != nil {
        masked := utils.MaskEmail(*auditLog.ActorEmail)
        auditLog.ActorEmail = &masked
    }
    
    // 处理详情中的敏感字段
    for key, value := range auditLog.Details {
        switch key {
        case "username":
            auditLog.Details[key] = utils.MaskUsername(value.(string))
        case "email":
            auditLog.Details[key] = utils.MaskEmail(value.(string))
        }
    }
    return auditLog
}

脱敏触发机制：通过配置项cfg.Mask控制是否启用，实现开发/生产环境差异化处理：

func NewLogger(persister persistence.Persister, cfg config.AuditLog) Logger {
    return &logger{
        mustMask: cfg.Mask, // 从配置读取脱敏开关
        // ...其他初始化
    }
}

应用场景与配置指南

典型应用场景

1. 用户登录审计：记录登录行为时自动脱敏邮箱johndoe@example.com→joh*****@example.com
2. 操作日志展示：管理后台显示用户操作时隐藏完整用户名alice123→a*****3
3. 数据导出处理：生成统计报表时对敏感字段统一脱敏

配置示例

在config/config_privacy.go中可配置脱敏策略：

audit_log:
  mask: true  # 启用脱敏
  storage:
    enabled: true
  console_output:
    enabled: true

为什么选择Hanko脱敏方案？

1. 零感知集成：业务代码无需修改，通过中间件自动应用脱敏
2. 性能优化：纯内存操作，单个字符串处理耗时<1ms
3. 可扩展性：预留扩展接口支持自定义脱敏规则
4. 合规保障：满足GDPR"数据最小化"原则和ISO27001审计要求

通过这套分层防御体系，Hanko在身份认证全流程中构建了可靠的敏感信息保护屏障，既满足安全合规要求，又保留了业务所需的必要信息维度。更多实现细节可参考：

• 脱敏测试用例：utils/mask_test.go
• 配置文档：config/config.yaml

【免费下载链接】hanko Auth and user management for the passkey era 项目地址: https://gitcode.com/GitHub_Trending/ha/hanko