日志平台里能搜到用户手机号和身份证号，来源是完整 prompt 原文，一天 12 万条。日志里能对上时间点，这种反而好排。
调试时把请求体整个打进日志，上线没关。提示词里带着用户资料，等于把所有输入复制了一份到日志系统。这一点先确认清楚，后面就不用反复试。
grep -cE '1[3-9][0-9]{9}' /var/log/llm.log
这次卡住的地方就在「提示词日志泄露」这一环，单独把它拎出来验证，别和其他改动混在同一次发布里。能分两步做的操作就别合成一步，中间看一眼返回值，出问题好判断。
报错里带路径的，先去看那个路径在不在、权限对不对。同一份配置存在多处的，先确认改的是被加载的那一份。
新版本先放一台机器上跑一天再全量，问题一般在这段时间暴露。
处理上按这个顺序：日志只记录请求 id token 数和耗时；需要原文时按 id 临时开启 采样 1%；对手机号 身份证做正则脱敏；清理已入库的敏感日志并设保留期。
结果对不对很好判断，日志里搜不到手机号 请求 id 仍能关联到具体调用。