API 响应里的密钥：别留日志

对接平台 API 的时候，为了排查问题，很多人会把完整的响应内容格式化之后贴出来发给同事，或者干脆存进日志文件。这一步很容易把不该露的东西一起带出去。

接口响应里最危险的是这几类：access token、refresh token、签名用的密钥，还有用户手机号和邮箱。它们往往混在一大段 JSON 里，肉眼过一遍根本注意不到。

别以为测试环境的密钥不要紧。很多团队的测试和生产用同一套账号体系，测试 token 一样能调生产接口，泄露的后果是一样的。

我的习惯是格式化之后先搜几个关键词：token、secret、key、password、email、phone。命中的字段直接替换成占位符再往外发。这条规矩加进排查流程之后，踩坑次数明显下降。

顺手说一句，排错用的 JSON 里通常带着店铺 ID、订单号和客户信息。用本地 JSON 格式化工具看结构，比粘进在线美化网站安全得多，那些站点拿到的就是你完整的响应内容。