我正在处理与Web应用程序的日志记录和安全相关的一般“架构”问题。据我所知,日志记录所有请求/响应数据(不仅是访问日志,还包括请求/响应正文)被视为最佳做法。这对于安全分析、调试目的、审计等都很有好处。
但是有一个问题,部分请求中会传输敏感信息,例如密码和/或信用卡数据。
(请注意:当然,我使用的是HTTPS,但是密码和/或信用卡数据将出现在日志或日志文件中的明文形式。顺便说一下,我不存储信用卡数据,因为我不符合PCI DSS合规要求,我们将此类数据传输给我们的合作伙伴,他是符合PCI DSS合规要求的。)
目前,我记录并存储异地访问日志(不包含请求/响应正文,但包含GET参数数据),并在应用程序代码中记录请求/响应正文数据(因此我能够决定将哪种数据记录到日志中,并在写入日志之前擦除敏感数据)。
但是,我考虑通过某个模块(例如mod_dumpio或类似模块)在应用程序之外实现日志记录(请求/响应正文),但在这种情况下,记录敏感信息可能是一个大问题。
我该如何实现/配置它?