Wie protokolliere ich einen get-Request-Parameter nicht in den nginx-Zugriffsprotokollen?

Question

Ich benötige Zugriffsprotokolle aktiviert, aber aus Compliance-Gründen können die Daten eines sensiblen GET-Anforderungsparameters nicht in den Zugriffsprotokollen protokolliert werden. Während ich weiß, konnte ich die Protokolle analysieren (nach der Tat) und sie bereinigen, das ist keine akzeptable Lösung - weil aus Gründen der Compliance Logs nicht manipuliert werden können.

http://www.example.com/resource?param1=123&sensitive_param=sensitive_data

Wie kann ich den „sensitive_data“ Parameterwert verhindern, in die Protokolle geschrieben werden? Hier waren ein paar Ideen:

• POST-Anfrage senden - ist keine Option mit JSONP.
• Verwenden Sie eine neue Standortregel für "Ressource" und legen Sie ein Zugriffsprotokoll fest, um ein log_format zu verwenden, das ein anderes Format verwendet (dh $ remote_addr nicht verwendet). Sehen Sie dieses als Referenz: http://nginx.org/en/docs/http/ngx_http_log_module.html
• Melden Sie ein $ sanitized_remote_addr, und stellen Sie es ein (irgendwie parse das $ remote_addr oder etwas anderes?), Bevor es es zum Protokoll macht. Wir sind nicht sicher, ob dies leicht zu erreichen ist.

Wie soll das gemacht werden?

Answer 1

Die Lösung, die ich bisher gefunden habe, ist here. Kurz gesagt:

location /any_sensitive... { 
    # Strip password in access.log 
    set $temp $request; 
    if ($temp ~ (.*)password=[^&]*(.*)) { 
     set $temp $1password=****$2; 
    } 

    log_format filter '$remote_addr - $remote_user [$time_local] ' 
     '"$temp" $status $body_bytes_sent "$http_referer" "$http_user_agent"'; 

    access_log logs/access.log filter; 
} 

Vielleicht hat dies irgendwann arbeiten, jetzt heißt es:

nginx: [emerg] unknown "temp" variable 

oder

nginx: [warn] the "log_format" directive may be used only on "http" level in ... 

Answer 2

vorherige Antwort wird nicht funktionieren, da log_format Modul nur dann verwendet werden kann unter http level config.

Zur Behebung dieses Problems können wir die log_format Konfiguration aus der location Direktive entfernen und sie wie in http level config beibehalten.

http { 

    log_format filter '$remote_addr - $remote_user [$time_local] ' 
     '"$temp" $status $body_bytes_sent "$http_referer" "$http_user_agent"'; 

    # Other Configs 
} 

log_format Richtlinie können Variablen später in unserem location Richtlinie Block definiert haben.

So endgültige Konfiguration wird wie folgt aussehen:

http { 

    log_format filter '$remote_addr - $remote_user [$time_local] ' 
     '"$temp" $status $body_bytes_sent "$http_referer" "$http_user_agent"'; 

    # Other Configs 

    server { 
     #Server Configs 
     location/{ 
      set $temp $request; 
      if ($temp ~ (.*)password=[^&]*(.*)) { 
       set $temp $1password=****$2; 
      } 

      access_log /opt/current/log/nginx_access.log filter; 
     } 
    } 
}