Чувствительные данные в логах и ответах API: как не допустить утечки?

[HttpGet("users/{id}")]
public async Task<User> Get(Guid id) => await db.Users.FindAsync(id);
// { "id": "...", "email": "...", "passwordHash": "AQAAAA...", "securityStamp": "...",
//   "isAdmin": false, "internalNotes": "проблемный клиент", "passportNumber": "AA1234567" }

public sealed record UserProfileDto(Guid Id, string DisplayName, string MaskedEmail, DateOnly MemberSince);

[HttpGet("users/{id}")]
public async Task<ActionResult<UserProfileDto>> Get(Guid id, CancellationToken ct) =>
    await db.Users.AsNoTracking()
        .Where(u => u.Id == id)
        .Select(u => new UserProfileDto(u.Id, u.DisplayName, Mask.Email(u.Email), u.CreatedAt))
        .FirstOrDefaultAsync(ct) is { } dto ? dto : NotFound();

public static class Mask
{
    public static string Email(string email)
    {
        var at = email.IndexOf('@');
        return at <= 1 ? "***" + email[at..] : $"{email[0]}***{email[(at - 1)..]}";   // a***n@mail.uz
    }
    public static string Card(string pan) => $"**** **** **** {pan[^4..]}";             // только последние 4 цифры
}

builder.Services.AddProblemDetails();

if (app.Environment.IsDevelopment())
    app.UseDeveloperExceptionPage();
else
    app.UseExceptionHandler();                   // клиент получит { "title": "An error occurred", "status": 500, "traceId": "..." }

_logger.LogInformation("Login {@Request}", request);                // деструктуризация — включая Password
_logger.LogInformation("Calling {Url}", $"{baseUrl}?apiKey={key}");  // ключ в URL
_logger.LogError(ex, "Failed for {Customer}", customer);            // ToString() сущности со всеми полями
app.UseHttpLogging();                                               // без настройки полей может писать тела и заголовки

_logger.LogInformation("Login attempt for user {UserId} from {Ip}", user.Id, ip);

public static class DataTaxonomy
{
    public static DataClassification Private => new("Shop", "Private");      // PII
    public static DataClassification Sensitive => new("Shop", "Sensitive");  // секреты, платёжные данные
}
public sealed class PrivateDataAttribute() : DataClassificationAttribute(DataTaxonomy.Private);
public sealed class SensitiveDataAttribute() : DataClassificationAttribute(DataTaxonomy.Sensitive);

public static partial class Log
{
    [LoggerMessage(LogLevel.Information, "Customer {CustomerId} updated email to {Email}")]
    public static partial void EmailChanged(ILogger logger, Guid customerId, [PrivateData] string email);
}

// Program.cs
builder.Logging.EnableRedaction();
builder.Services.AddRedaction(r =>
{
    r.SetRedactor<ErasingRedactor>(new DataClassificationSet(DataTaxonomy.Sensitive));   // полностью удалить
    r.SetHmacRedactor(o =>                                                                // заменить на HMAC — можно
    {                                                                                    // коррелировать, но не прочитать
        o.Key = builder.Configuration["Redaction:Key"];
        o.KeyId = 1;
    }, new DataClassificationSet(DataTaxonomy.Private));
});

Log.Logger = new LoggerConfiguration()
    .Destructure.ByTransforming<LoginRequest>(r => new { r.UserName, Password = "***" })
    .Destructure.With<SensitivePropertyMasker>()         // своя политика: маскировать свойства с атрибутом
    .Enrich.FromLogContext()
    .WriteTo.Console(new RenderedCompactJsonFormatter())
    .CreateLogger();

builder.Services.AddHttpLogging(o =>
{
    o.LoggingFields = HttpLoggingFields.RequestMethod | HttpLoggingFields.RequestPath
                    | HttpLoggingFields.ResponseStatusCode | HttpLoggingFields.Duration;   // без тел и заголовков
    o.RequestHeaders.Remove("Authorization");
});