标准答案
- 默认记录关联 ID、版本、模型、Token、延迟、错误类别、工具名称和来源 ID；完整 Prompt、用户内容和输出按敏感等级决定是否短期加密保存。
- 对邮箱、手机号、身份证、密钥和业务数据做识别与脱敏，日志访问使用最小权限并记录审计；生产调试开关要有期限和审批。
- 设置保留、删除和备份策略，支持按用户或租户删除相关日志；高风险事件可以保存受控证据，但不能无限期保留全部对话。
题目解析
脱敏不是简单替换几个字段。模型可能把个人信息写在自由文本、代码或工具结果中，需要分层检测并允许误报处理。
哈希可用于关联同一值，但低熵个人信息仍可能被猜测；敏感字段应优先不可逆脱敏或加密隔离。
日志系统本身是高价值目标，不能因为“只有内部人员能看”就省略访问控制和密钥管理。
常见误区
- 为了复现问题永久保存完整用户对话。
- 只脱敏结构化字段，忽略 Prompt 和模型自由文本。
- 把 API Key、Cookie 或内部 Token 打进异常堆栈。