nginx日志可通過log_format指令自定義格式，以精確控制記錄的信息。1. 定義日志格式使用log_format指令，如包含客戶端ip、請求時間、狀態碼等字段；2. 應用日志格式通過access_log指令指定具體文件和格式；3. 可使用內置變量如$remote_addr、$status、$http_user_agent等記錄關鍵信息；4. 通過配置過濾特定請求（如uri或post方法）實現精細化日志記錄；5. $upstream_response_time記錄后端響應時間，而$request_time為客戶端請求總耗時；6. 自定義日志可助力安全分析，如追蹤異常狀態碼、惡意user-agent及監控異常請求大小，結合工具實現自動化安全防護。
nginx日志格式自定義允許你精確控制記錄哪些信息，這對于故障排除、性能分析以及安全審計至關重要。理解每個字段的含義，能讓你更高效地解讀日志，從而優化你的Nginx配置和服務器性能。
解決方案
Nginx的日志格式通過log_format指令進行自定義，該指令定義了日志記錄的格式。默認的combined格式已經包含了許多常用信息，但你可以根據自己的需求創建新的格式。
-
定義日志格式：
在nginx.conf文件的http塊中，使用log_format指令定義新的日志格式。例如：
http { log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"'; }這個例子定義了一個名為main的日志格式，包含了客戶端IP地址、用戶名、請求時間、請求內容、狀態碼、響應體大小、引用頁面、用戶代理以及X-Forwarded-For頭信息。
-
應用日志格式：
在server或location塊中，使用Access_log指令指定要使用的日志格式。例如：
server { listen 80; server_name example.com; access_log /var/log/nginx/example.com.access.log main; }這會將example.com的訪問日志記錄到/var/log/nginx/example.com.access.log文件中，并使用之前定義的main格式。
-
常用變量：
Nginx提供了許多內置變量，可以在log_format指令中使用。一些常用的變量包括：
- $remote_addr: 客戶端IP地址。
- $remote_user: 客戶端用戶名（如果已認證）。
- $time_local: 本地時間。
- $request: 完整的HTTP請求行。
- $status: HTTP狀態碼。
- $body_bytes_sent: 發送給客戶端的響應體大小。
- $http_referer: 引用頁面。
- $http_user_agent: 客戶端用戶代理。
- $http_x_forwarded_for: X-Forwarded-For頭信息（如果客戶端通過代理）。
- $request_time: 處理請求所花費的時間（秒）。
- $upstream_response_time: 后端服務器響應時間（秒）。
- $upstream_addr: 后端服務器地址。
如何自定義Nginx日志以追蹤特定類型的請求？
可以根據請求的URI、HTTP方法、用戶代理等信息進行過濾。例如，只記錄對特定API接口的訪問：
http { log_format api_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent'; server { location /api/ { access_log /var/log/nginx/api_access.log api_log; # ... 其他配置 } } }
這個配置會將所有對/api/路徑的請求記錄到api_access.log文件中，并使用api_log格式。 你也可以添加條件判斷，比如只記錄POST請求：
http { log_format post_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent'; server { location / { if ($request_method = POST) { access_log /var/log/nginx/post_access.log post_log; } # ... 其他配置 } } }
需要注意的是，在location塊中使用if語句可能會影響性能，應謹慎使用。
Nginx日志中 $upstream_response_time 和 $request_time 的區別是什么？
$upstream_response_time記錄的是Nginx與后端服務器建立連接、發送請求并接收響應所花費的時間。如果你的Nginx作為反向代理，這個變量能告訴你后端服務器的響應速度。 如果存在多個后端服務器，該變量會顯示所有服務器的響應時間，用逗號分隔。
$request_time記錄的是客戶端發送請求到Nginx收到完整響應所花費的總時間，包括了Nginx處理請求、與后端服務器通信以及將響應發送給客戶端的所有步驟。因此，$request_time通常會比$upstream_response_time大，因為前者包含了Nginx自身的處理時間。
通過比較這兩個變量，你可以判斷性能瓶頸是在Nginx本身還是在后端服務器。
如何利用自定義Nginx日志進行安全分析？
自定義日志格式可以幫助你記錄與安全相關的關鍵信息，例如：
- 記錄異常請求： 你可以記錄狀態碼為4xx或5xx的請求，以便分析潛在的攻擊或配置錯誤。
- 追蹤惡意用戶代理： 記錄$http_user_agent可以幫助你識別使用已知惡意用戶代理的客戶端。
- 監控請求大小： 記錄$request_length可以幫助你發現異常大的請求，這可能是ddos攻擊的跡象。
- 記錄POST請求數據：雖然不建議直接記錄POST請求的全部數據（可能包含敏感信息），但你可以記錄POST請求的大小或特定參數的值，以便分析潛在的惡意行為。
此外，結合日志分析工具，你可以定期分析Nginx日志，發現潛在的安全威脅。例如，你可以使用fail2ban根據日志中的錯誤信息自動屏蔽惡意IP地址。
