我们的Web应用程序需要符合PCI标准,即不能存储任何信用卡号码。该应用程序是主机系统的前端,该系统内部处理CC号码,并且正如我们刚刚发现的那样,有时仍会在其响应屏幕上显示完整的CC号码。默认情况下,这些响应的全部内容都以调试级别记录,并且从这些内容中解析出的内容可以在许多不同的位置记录。因此我无法追踪此类数据泄漏的来源。我必须确保我们日志文件中的CC号码被掩盖。
正则表达式部分不是问题,我将重复使用已在其他几个地方使用的正则表达式。然而,我找不到任何关于如何修改Log4J日志消息的好资源。过滤器似乎更加受限,只能决定是否记录特定事件,但无法更改消息的内容。我还发现了Log4J的ESAPI安全包装器API,乍一看似乎可以实现我的要求。但是,显然我需要用ESAPI logger类替换代码中的所有记录器 - 这很麻烦。我希望有一个更透明的解决方案。
您有任何想法如何从Log4J输出中屏蔽信用卡号码吗?
更新:基于@pgras的原始想法,这里是一个可行的解决方案:
正则表达式部分不是问题,我将重复使用已在其他几个地方使用的正则表达式。然而,我找不到任何关于如何修改Log4J日志消息的好资源。过滤器似乎更加受限,只能决定是否记录特定事件,但无法更改消息的内容。我还发现了Log4J的ESAPI安全包装器API,乍一看似乎可以实现我的要求。但是,显然我需要用ESAPI logger类替换代码中的所有记录器 - 这很麻烦。我希望有一个更透明的解决方案。
您有任何想法如何从Log4J输出中屏蔽信用卡号码吗?
更新:基于@pgras的原始想法,这里是一个可行的解决方案:
public class CardNumberFilteringLayout extends PatternLayout {
private static final String MASK = "$1++++++++++++";
private static final Pattern PATTERN = Pattern.compile("([0-9]{4})([0-9]{9,15})");
@Override
public String format(LoggingEvent event) {
if (event.getMessage() instanceof String) {
String message = event.getRenderedMessage();
Matcher matcher = PATTERN.matcher(message);
if (matcher.find()) {
String maskedMessage = matcher.replaceAll(MASK);
@SuppressWarnings({ "ThrowableResultOfMethodCallIgnored" })
Throwable throwable = event.getThrowableInformation() != null ?
event.getThrowableInformation().getThrowable() : null;
LoggingEvent maskedEvent = new LoggingEvent(event.fqnOfCategoryClass,
Logger.getLogger(event.getLoggerName()), event.timeStamp,
event.getLevel(), maskedMessage, throwable);
return super.format(maskedEvent);
}
}
return super.format(event);
}
}
注:
- 我使用
+
而不是*
进行掩码,因为我想区分这个记录器对CID进行了掩码的情况与后端服务器或其他人进行掩码的情况 - 我使用简单的正则表达式,因为我不担心误报
该代码经过单元测试,所以我相信它能正常工作。当然,如果您发现可以改进它的地方,请告诉我 :-)
private static final String MASK = "$1++++++$3";
private static final Pattern PATTERN = Pattern.compile("([0-9]{6})([0-9]{6,10})([0-9]{4})");
- Neoecos