在 PHP 8.2 及以上版本中，使用 #[\SensitiveParameter] 属性标记函数参数，可防止敏感数据在栈跟踪日志中明文泄露。该机制仅适用于 PHP 8.2+，且需注意接口实现时的兼容性风险。
先说结论：敏感参数修饰符能有效隐藏栈跟踪中的秘密值，但不能替代加密存储。
- 先判断：确认 PHP 版本不低于 8.2.0，否则属性无效。
- 优先做：在涉及密码、密钥的函数参数上添加
#[\SensitiveParameter]。 - 再验证：触发异常后检查日志，确保值显示为
Object(SensitiveParameterValue)。
命令速用版
直接在函数参数前添加属性修饰符，无需修改函数体逻辑。
<?php
function login(#[\SensitiveParameter] string $password) {
throw new Exception('Auth failed');
}
?>为什么会这样
PHP 引擎在生成栈跟踪信息时，会自动识别该属性并将值封装为对象。
带有 SensitiveParameter 属性的参数值，在栈跟踪中会被 SensitiveParameterValue 对象自动包装，从而避免明文打印。这属于运行时日志脱敏，而非数据加密，原始值在内存中仍可访问。
分步处理
按以下步骤在代码中启用敏感参数保护：
- 检查版本：运行
php -v确认版本号为 8.2 或更高。 - 添加属性：在函数或方法参数前添加
#[\SensitiveParameter]。 - 捕获异常：使用
try...catch块捕获异常并输出栈跟踪。 - 审查日志：检查错误日志或输出内容，确认敏感值已被隐藏。
怎么验证是否生效
通过抛出异常并打印堆栈跟踪来观察参数显示形式。
未加属性时，栈跟踪显示明文密码；添加属性后，栈跟踪中该参数位置显示 Object(SensitiveParameterValue)。若日志中仍出现明文，需检查 PHP 版本是否达标或属性语法是否正确。
常见坑
- 接口实现不匹配：若接口定义未加属性而实现类添加，或反之，可能导致属性失效，引发密码暴露。
- 非加密保护：该属性仅防止日志泄露，
SensitiveParameterValue对象仍可通过getValue()获取原始值。 - 旧版本兼容：在 PHP 8.2 以下版本使用该属性会导致语法错误或无效。
常见问题
PHP 8.1 可以使用敏感参数修饰符吗？
不可以，该特性仅在 PHP 8.2.0 及以上版本可用。
接口定义时需要添加该属性吗？
需要，接口与实现类的属性定义必须一致，否则可能导致保护失效。
被隐藏的值还能在代码中获取吗？
可以，函数内部仍可正常使用该参数，仅栈跟踪显示时被脱敏。
参考来源
- SensitiveParameter アトリビュート - PHP 官方文档
- SensitiveParameterValue クラス - PHP 官方文档
- PHP 敏感信息保护机制_PHP 隐藏配置与关键数据技巧