JSON.stringify的第二个参数可传数组或函数：数组实现白名单静态筛选，函数支持动态过滤、脱敏与值替换，返回undefined则剔除字段，返回null则保留字段但值为null。
JSON.stringify 的第二个参数到底能传什么
它不只接受数组，更关键的是可以传一个
函数——这才是实现动态脱敏的核心。数组写法（如
）只能白名单保留字段，无法做条件判断或替换值，遇到“密码字段存在但需替换成
”这类需求就直接失效。
函数形式的
会在每个键值对遍历时被调用，接收两个参数：
和
，返回值将作为该字段最终序列化的结果。注意：如果返回
，该字段会被完全剔除；返回其他值（包括
、
、
）则按返回值处理。
用 replacer 函数对 password、token 等字段统一脱敏
常见错误是只检查
，但实际项目中敏感字段名可能有变体：
、
、
、甚至嵌套对象里的
。必须在函数内做多条件匹配，并保持递归上下文。
用正则匹配敏感字段名，比如
不要直接修改原始对象，
是纯函数，副作用会破坏数据一致性
注意
可能是
或
，先判空再匹配 key，避免报错
嵌套对象自动递归处理，无需手动展开——这是
内置行为
需要保留字段结构但隐藏值？null 和 undefined 的区别很关键
如果脱敏后想让字段仍出现在 JSON 中（只是值为空），必须返回
，而不是
。后者会导致整个键被删除，前端解析时可能因字段缺失抛错或逻辑异常。
例如用户对象里
，返回
→ 序列化后无
字段；返回
→ 得到
，结构完整，类型明确。
Find JSON Path Online
Easily find JSON paths within JSON objects using our intuitive Json Path Finder
下载
返回
：字段保留，值为
，JSON 中显式存在
返回
：字段彻底消失，后续代码若依赖该 key 存在会出问题
返回
或
：字段存在，值为字符串，适合日志脱敏等场景
深层嵌套 + 数组混合结构下 replacer 的执行顺序和 this 指向
函数每次调用时的
指向当前层级的父对象（不是最外层原对象），且执行顺序是深度优先：先处理叶子节点，再逐层向上。这意味着你无法在子字段处理时“提前知道”父级类型，但可以利用
的路径特征做简单推断（比如
）。
真正容易被忽略的是数组元素的处理：数组索引会作为
传入（如
、
），而
是对应项。此时
是该数组本身，不是父对象。所以不能靠
判断上下文，得靠
字符串 + 值类型组合判断。
复杂业务中建议把脱敏逻辑封装成可配置的函数，比如支持传入字段白名单、黑名单、替换模板，而不是硬编码在
里——否则一改字段就得翻所有
调用点。
replacer["id", "name"]"***"replacerkeyvalueundefinednull"""***"key === "password"pwdauth_tokenapiKeyuser.token/^(password|pwd|token|api_key|secret|auth)/ireplacervaluenullundefinedJSON.stringifyconst sensitiveKeys = /^(password|pwd|token|api_key|secret|auth)/i;
const safeStringify = (obj) => JSON.stringify(obj, (key, value) => {
if (sensitiveKeys.test(key) && typeof value === 'string') {
return '***';
}
return value;
});
nullundefinedtoken: "abc123"undefinedtokennull"token": nullnullnullundefined"""***"replacerthiskeykey === "token" && typeof this.username === "string"key"0""1"valuethisthiskeyreplacerJSON.stringify