JSON・APIレスポンスから個人情報や秘密情報を除去する方法

キー名から確認対象を探す

apiKey、accessToken、secret、password、cookie、email、phone、addressは代表的な確認対象です。ただし独自の略称や日本語キーもあるため、キー名だけの自動判定には頼れません。

requestIdやtimestampのように一見安全な値でも、内部ログと照合できる識別子になる場合があります。共有目的に不要なら置き換えます。

JSONを安全に加工する手順

1. HTTPヘッダーやCookieを分離し、レスポンス本文だけを共有用にコピーします。
2. 認証情報、個人情報、内部識別子をキーと値の両面から確認します。
3. 文字列は架空値、数値は桁数が分かる値へ置き換え、nullや真偽値は必要に応じて残します。
4. 整形後にJSONとして解析できることと、配列の後半に実データが残っていないことを確認します。

型を保つ理由

JSON本体だけでなく、スクリーンショットに写るURL、開発者ツールのヘッダー、ファイル名にも注意してください。