Java中基于用户角色实现差异化日志记录的策略

import java.util.Objects;

/**
 * 负责管理当前线程的用户角色信息，供日志系统使用。
 */
public class UserRoleContext {

    // 使用ThreadLocal存储当前线程的用户角色
    private static final ThreadLocal<String> CURRENT_ROLE = new ThreadLocal<>();

    /**
     * 获取当前线程的用户角色。
     *
     * @return 当前线程的用户角色，如果未设置则返回null。
     */
    public static String getRole() {
        return CURRENT_ROLE.get();
    }

    /**
     * 设置当前线程的用户角色。
     *
     * @param role 要设置的用户角色字符串（例如："ADMIN", "DEVELOPER", "END_USER"）。
     */
    public static void setRole(String role) {
        CURRENT_ROLE.set(Objects.requireNonNull(role, "User role cannot be null"));
    }

    /**
     * 清除当前线程的用户角色信息。
     * 这一步至关重要，尤其是在使用线程池的Web应用中，防止角色信息泄露到下一个请求。
     */
    public static void clearRole() {
        CURRENT_ROLE.remove();
    }
}

import java.util.logging.Level;
import java.util.logging.LogRecord;
import java.util.logging.Filter; // 假设使用java.util.logging的Filter，或者自定义接口

/**
 * 一个概念性的日志过滤器，根据用户角色过滤日志。
 * 实际应用中会集成到Logback/Log4j2等框架中。
 */
public class RoleBasedLogFilter implements Filter {

    // 定义不同角色允许的日志级别，或具体的过滤规则
    private static final String ROLE_ADMIN = "ADMIN";
    private static final String ROLE_DEVELOPER = "DEVELOPER";
    private static final String ROLE_END_USER = "END_USER";

    @Override
    public boolean isLoggable(LogRecord record) {
        String currentRole = UserRoleContext.getRole();

        // 如果没有角色信息，默认允许所有日志（或者根据策略拒绝所有敏感日志）
        if (currentRole == null) {
            // 对于未认证用户，可能只允许INFO级别以下的非敏感日志
            return record.getLevel().intValue() >= Level.INFO.intValue();
        }

        switch (currentRole) {
            case ROLE_ADMIN:
            case ROLE_DEVELOPER:
                // 管理员和开发者可以查看所有级别的日志
                return true;
            case ROLE_END_USER:
                // 终端用户只允许查看INFO级别或更低的非敏感日志
                // 并且可能需要进一步过滤掉包含技术细节或敏感数据的消息
                if (record.getLevel().intValue() >= Level.WARNING.intValue()) {
                    // 终端用户不应看到警告或错误级别的技术细节
                    return false;
                }
                // 进一步检查日志消息内容，过滤掉敏感信息
                if (record.getMessage() != null && record.getMessage().contains("password") || record.getMessage().contains("stack trace")) {
                    return false;
                }
                return true;
            default:
                // 未知角色，默认拒绝敏感日志
                return record.getLevel().intValue() >= Level.INFO.intValue();
        }
    }
}

import javax.servlet.Filter;
import javax.servlet.FilterChain;
import javax.servlet.FilterConfig;
import javax.servlet.ServletException;
import javax.servlet.ServletRequest;
import javax.servlet.ServletResponse;
import javax.servlet.http.HttpServletRequest;
import java.io.IOException;

/**
 * 示例Web过滤器，用于在请求处理前后设置和清除用户角色。
 */
public class AuthenticationRoleFilter implements Filter {

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 初始化逻辑
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
            throws IOException, ServletException {
        // 确保请求是HTTP请求
        if (!(request instanceof HttpServletRequest)) {
            chain.doFilter(request, response);
            return;
        }

        HttpServletRequest httpRequest = (HttpServletRequest) request;
        String userRole = null;

        try {
            // 1. 从认证信息中获取用户角色
            // 这一步是核心，根据你的认证框架（如Spring Security）获取当前用户角色
            // 假设有一个方法可以从请求或安全上下文中获取角色
            userRole = getUserRoleFromAuthentication(httpRequest);

            if (userRole != null) {
                UserRoleContext.setRole(userRole); // 设置角色到ThreadLocal
            }

            // 继续处理请求
            chain.doFilter(request, response);

        } finally {
            // 2. 无论请求处理成功还是失败，都必须清除ThreadLocal中的角色信息
            // 这一点至关重要，尤其是在使用线程池的服务器环境中，
            // 避免将当前线程的角色信息泄露给后续处理其他请求的线程。
            UserRoleContext.clearRole();
        }
    }

    @Override
    public void destroy() {
        // 清理逻辑
    }

    /**
     * 模拟从认证信息中获取用户角色的方法。
     * 在实际应用中，这里会集成Spring Security或其他认证机制。
     *
     * @param request HttpServletRequest
     * @return 用户角色字符串，如果未认证或无角色则返回null。
     */
    private String getUserRoleFromAuthentication(HttpServletRequest request) {
        // 实际应用中，这里会从HttpSession、JWT令牌、Spring Security上下文等获取
        // 示例：
        if (request.getUserPrincipal() != null) {
            String username = request.getUserPrincipal().getName();
            if ("admin".equals(username)) {
                return "ADMIN";
            } else if ("dev".equals(username)) {
                return "DEVELOPER";
            } else {
                return "END_USER";
            }
        }
        return null; // 未认证用户
    }
}