企业网站日志不会看？访问日志分析与告警配置实战

导读：网站被爬、接口报错、半夜访问异常，往往要到用户投诉才发现。访问日志就是网站的"黑匣子"，会看会配告警，问题能提前几小时暴露。这篇文章给出一套可落地的日志方案：日志打什么、怎么看关键指标、告警怎么配不误报，每步带配置示例。

一、先定日志打什么

访问日志至少要覆盖三件事：谁访问（IP、UA）、访问了什么（路径、参数）、结果如何（状态码、耗时）。别贪多，字段固定，后面才好统计。推荐标准格式：

$remote_addr - $request_time $status $request_method $request_uri $http_referer $http_user_agent

字段固定之后，所有统计脚本和告警规则都能基于同一套格式，换人维护也接得上。

二、关键指标怎么看

日志拿到手，先看四类指标：

• 状态码分布：5xx 突增 = 服务异常；4xx 突增 = 被扫或被爬；
• P95 耗时：平均耗时看不出问题，P95 才是用户体验水位；
• QPS 曲线：和业务时间对齐，异常突刺立刻定位；
• 来源分布：Referer 为空且高 QPS 的，多半是爬虫；
• 慢请求追踪：P95 偏高时，用耗时 Top 请求反查具体接口和参数，先修最慢的三个接口，收益最大。

# 统计 5xx 占比（awk 一行搞定）
awk '$9 ~ /^5/ {c++} END {print c+0}' access.log

三、告警怎么配不误报

告警最怕狼来了——配太灵敏天天响，配太松出事了不知道。三个原则：

1. 环比阈值：和昨天同一时段比，突增 3 倍才告警，避开早晚高峰的误报；
2. 持续时间：连续 5 分钟超阈值才告警，单次抖动不打扰人；
3. 分级通知：5xx 突增走短信/电话，常规异常走群消息。

另外告警消息要自带上下文：时间范围、指标数值、对比基线都要写进去，值班人不用翻系统就知道发生了什么。

# 示例：每 5 分钟统计一次 5xx 数量，超过 50 告警
*/5 * * * * awk '$9 ~ /^5/ {c++} END {if (c+0 > 50) print "5xx too many: " c+0}' access.log >> /tmp/alert.log

四、日志采集与轮转

日志不能无限增长，轮转是基本功：

# nginx 按天切分 + 保留 30 天
log_format main '$remote_addr - $request_time $status $request_uri $http_user_agent';
access_log /var/log/nginx/access.log main;

采集侧建议：Nginx 日志按天切分，同步到日志平台（如自建 ELK 或云日志服务），保留 30 天供回溯；磁盘紧张时压缩归档，别直接删。采集用轻量 Agent（如 Filebeat 类）即可，别在业务代码里自己打采集点；格式解析放采集端做一次，应用只负责吐结构化字段。

五、踩坑清单

• 字段不固定：每次加字段就改格式，统计脚本全废。字段固定，新增走新字段。
• 只配 5xx 告警：4xx 爬虫风暴不告警，带宽被打满才发现。4xx 也要盯。
• 阈值写死：白天晚上一个阈值，白天必然误报。按时段/环比动态阈值。
• 日志不轮转：磁盘写满，网站直接挂。轮转 + 定期清理。
• P95 不看：只看平均耗时，长尾请求被掩盖。P95/P99 都要看。
• 无日志留痕：出问题想回溯，日志已删。保留 30 天 + 压缩归档。

六、工程落地建议

日志方案按"采集-存储-告警"三段做：Nginx/应用侧统一格式采集，日志入日志平台保留 30 天，告警按环比+持续时长分级触发。先跑一周积累基线，再配阈值，避免一上来就误报刷屏。落地时建议把日志链路拆成"采集-存储-告警"三段，同类分层在乔拓云企业网站的日志统计模块中有对应实现，告警准确率用月度复盘持续校准。

七、复盘清单

• 日志字段是否固定？格式是否统一？
• 5xx/4xx/P95 是否都有监控？
• 告警阈值是否按环比+持续时长？有无误报？
• 日志是否轮转、保留期是否满足回溯需求？

结语：会看日志、会配告警，网站的问题能提前几小时被发现。核心是"字段固定、指标看全、告警分级"，本文与《在线考试防作弊怎么做：切屏检测、题库乱序与倒计时交卷》同属企业数字化落地避坑系列，可对照阅读。