线上日志到底该记多少？脱敏和排障之间那根拉扯的线

先说背景：日志是排障的命脉，但同时也是敏感信息泄露的重灾区。最近帮两个团队做安全加固，翻他们生产日志，身份证、手机号、银行卡号、甚至完整 JWT token 都明文躺在文件里——平时觉得没事，真出了数据泄露事故才追悔莫及。可反过来，把字段全抹成 ****，下次线上出问题时又两眼一抹黑。这中间的度，我见各团队吵得面红耳赤，所以想借这个帖子把分歧摊开聊聊。

我观察到大致三种做法： 1）「全量记」派：排障爽、开发爽，字段一个不落。安全上等于把病历本摊在门诊大厅谁都能抄。 2）「一刀切全脱敏」派：所有疑似敏感字段统一打码。安全是安全了，可排障时关键信息全没了，等于记了个寂寞，最后大家又偷偷绕过打码逻辑。 3）「分级 + 默认脱敏 + 可审计按需查看」派：把字段按敏感度分级，默认输出脱敏值，真正需要明文时走权限+审计的通道反查。工程成本最高，但兼顾两头。

我个人的倾向是第三种，打个比方：日志就该像医院病历，不是不能看，而是要分「护士站可见」和「主治医生可见」两层；默认给的是脱敏摘要，需要明文时得刷工卡、留记录。理由有三：一是「默认安全」符合最小暴露原则，漏配一个字段也不会裸奔；二是可审计通道把「看明文」从随手操作变成受控操作，责任能落到人；三是分级本身逼团队在写日志那一刻就想清楚「这字段到底多敏感」。

但我也承认它有代价：脱敏规则要维护、分级标准要拉齐、反查通道要建设，小团队可能觉得「杀鸡用牛刀」。所以特别想听大家：

• 你们线上日志现在是怎么处理敏感字段的？属于上面哪一派？
• 「脱敏了还要能排障」这个矛盾，你们实际怎么解的？有没有「脱敏 token 反查」或「字段级加密」的落地实践？
• 小团队（比如 5 人以内）和平台级大团队，你们觉得脱敏策略该不该一样？
• 有没有被「全脱敏」坑过、最后又偷偷绕回去的，举个具体场景？

欢迎把你们踩过的坑和折中方案都贴出来，咱们一起把这条线捋清楚。