用途：在共享或提交客户提供的日志前，逐行审查并就地替换所有敏感值，只替换身份信息，保留原始结构、分隔符、引号、字段顺序和换行。输入可以是文件，也可以是单行 syslog、KV 或 NDJSON；输出形状必须与输入一致，不得美化、换行、截断或“修正”值。输出位置可选，默认同目录加 .sanitized 后缀，也可说“in place”覆盖原文件。
主要能力：采用两遍替换法。第一遍扫描整个文件或行，为每个敏感 token 建立“原值→占位符”映射，包括嵌套值（URL 查询参数、复合 ID 中的十六进制 dword、路径段）；相同原值映射相同占位符，不同原值映射不同占位符；然后全局应用映射。第二遍扫描残留，如 URL 中的 IP、厂商 ID 中的十六进制 IP、看似产品名的内部主机名。覆盖范围包括认证凭据、个人标识、组织标识、基础设施标识、设备硬件标识、文件系统路径、连接字符串、资源归属、跟踪标识、可推导自敏感输入的哈希值，以及精确地理位置等。
使用方式：通过 @ 提及文件或内联粘贴提供日志；可选指定输出路径或“in place”。替换需遵循占位符约定与形状规则，例如邮箱用 user@example.com，IPv4 用 RFC 5737 地址，UUID 用同版本合成 UUID，数字 ID 保持位数，URL 只替换敏感段。完成后需验证结构完整：行数不变、输出长度不低于输入的 70%、NDJSON 每行仍是合法 JSON、时间戳格式不变、枚举/状态/动作值未被改动。
适用场景：需要将客户日志安全地共享、提交或用于测试，同时保持可解析性和跨事件关联可测试性。
限制：不得重新格式化内容；不得添加、删除或重写 syslog PRI/RFC5424 头；截断不是脱敏策略；畸形或垃圾值不得替换；公开知名主机名在 SaaS/厂商 API 日志中通常无需替换，但在防火墙、代理、DNS、UTM 和内容过滤事件中，目标主机名和 IP 属于客户遥测，需要替换。具体命令与完整占位符表以原始资料为准。