nginx 请求日志

原标题：nginx 请求日志

导读：

# 搞懂Nginx请求日志，运维效率翻倍的秘密在Web服务的日常运维中，Nginx作为高性能反向代理服务器，其请求日志是排查故障、优化性能的“数据雷达”。每天产生的百万级...

搞懂Nginx请求日志，运维效率翻倍的秘密

在Web服务的日常运维中，Nginx作为高性能反向代理服务器，其请求日志是排查故障、优化性能的“数据雷达”。每天产生的百万级请求日志里，藏着服务器的“健康报告”：谁在访问你的网站？哪个接口响应最慢？哪些路径总出404？学会解读Nginx请求日志，能让你从“被动救火”变成“主动预警”。

一、Nginx请求日志：不只是一串字符

Nginx的请求日志本质是服务器与客户端交互的“对话记录”，由access_log指令生成，默认保存在/var/log/nginx/access.log。它的核心价值在于：

故障排查：通过状态码（如404、502）快速定位资源缺失或服务异常；
性能监控：request_time（请求处理耗时）、body_bytes_sent（响应数据大小）等指标帮你识别“拖后腿”的接口；
安全审计：记录IP、User-Agent、Referer等信息，拦截恶意爬虫或非法访问。

二、日志字段：每个变量都是“诊断指标”

Nginx日志格式由log_format指令定义，默认格式已包含关键字段，但自定义格式能挖掘更多细节。以下是核心变量解析：

变量名	含义	典型值	应用场景
`$remote_addr`	客户端IP	192.168.1.1	识别高频访问IP或攻击来源
`$request`	请求内容	`GET /api/data HTTP/1.1`	记录请求方法、路径、协议
`$status`	响应状态码	200、404、502	判断接口是否正常（200=成功，4xx=客户端错误，5xx=服务器错误）
`$request_time`	总处理时间（秒）	0.234	定位慢请求（超过1秒需优化）
`$http_referer`	来源页面	`https://www.baidu.com`	防盗链（过滤非白名单Referer）
`$http_user_agent`	客户端设备	`Mozilla/5.0...`	识别爬虫（如包含“python”“curl”可能是脚本请求）

三、配置实战：定制你的专属日志

默认日志格式过于简略，建议在nginx.conf的http块中自定义格式，示例如下：

log_format my_log '$remote_addr [$time_local] "$request" $status '
                  '$request_time "$http_referer" "$http_user_agent" '
                  '$body_bytes_sent';

server {
    listen 80;
    server_name example.com;
    access_log /var/log/nginx/example_access.log my_log;  # 应用自定义格式
}

关键点：

格式定义在http块，可复用；
access_log需指定日志路径和格式名，否则用默认格式。

四、日志分析：3个高频场景秒级解决问题

1. 快速识别“问题IP”：统计访问量TOP10

# 按IP统计访问次数（$1是IP，awk按列提取）
awk '{print $1}' access.log | sort | uniq -c | sort -nr | head -10

输出结果：

  10000 192.168.1.100
   8000 10.0.2.1
   5000 203.0.113.5

若某IP访问量突增（远超正常范围），可能是爬虫攻击或DDoS；
白名单IP（如内部管理后台）若出现大量404，需检查权限配置。

2. 定位“慢请求”：优化耗时最长的接口

# 筛选处理时间>1秒的请求
awk '$10 > 1 {print $7, $10}' access.log | sort -k2nr | head -10

输出示例：

/api/slow-endpoint 1.892
/static/large-file 1.567

$10对应request_time，超过1秒的接口需排查代码逻辑或数据库性能；
若$request_time包含“-”（如-），可能是反向代理超时（需检查proxy_connect_timeout）。

3. 拦截“异常请求”：通过状态码锁定问题

404错误：grep "404" access.log | awk '{print $7}' | sort | uniq -c，定位频繁404的路径（可能是资源未更新或爬虫扫描）；
502/503错误：grep "502\|503" access.log | awk '{print $1, $7}'，检查是否是后端服务（如PHP-FPM、Node.js）崩溃。

五、日志管理：避免“日志炸弹”

日志若不清理会占满磁盘，推荐用logrotate实现自动轮转：

# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily           # 每日轮转
    missingok       # 日志不存在不报错
    rotate 14       # 保留14天日志
    compress        # 压缩旧日志
    delaycompress   # 压缩延迟到下次轮转
    notifempty      # 空日志不轮转
    create 0640 www-data www-data  # 新日志权限
}