服务器日志管理教训：9.7GB的access.log存了11个月没人管

宝塔日志切割的默认规则（Nginx）

· 日志目录：/www/wwwlogs/
· 每个网站一个独立的 .log 文件（如 yourdomain.com.log）
· 切割方式：每天凌晨自动切割一次
· 保留份数：默认保留180份（即180天的日志）
· 自动压缩：切割后的旧日志自动gzip压缩
· 访问日志和错误日志分别切割

# 创建宝塔网站日志的logrotate配置sudo vim /etc/logrotate.d/bt_all_sites# 写入以下内容——一条规则覆盖所有网站日志/www/wwwlogs/*.log {daily                     # 每天切割一次rotate 30                  # 只保留最近30天missingok                 # 日志文件不存在也不报错notifempty                # 空文件不切割compress                  # 旧日志用gzip压缩delaycompress             # 延迟一天压缩，保留昨天日志可读sharedscripts             # 所有日志处理完只执行一次postrotatedateext                   # 用日期命名旧日志，而非数字序号dateformat -%Y%m%d     # 日期格式：yourdomain.com.log-20260725postrotateif [ -f /www/server/nginx/logs/nginx.pid ]; then/bin/kill -USR1 `cat /www/server/nginx/logs/nginx.pid`fiendscript}

# /etc/logrotate.d/nginx-all-sites/var/log/nginx/*/*.log {dailyrotate 14missingoknotifemptycompressdelaycompresssharedscriptspostrotate[ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`endscript}

常用日志分析命令速查

#!/bin/bash# 批量生成所有网站的GoAccess报告LOG_DIR="/www/wwwlogs"REPORT_DIR="/www/wwwroot/reports"mkdir -p $REPORT_DIRfor logfile in $LOG_DIR/*.log; dositename=$(basename "$logfile" .log)goaccess "$logfile" \--log-format=COMBINED \-o "$REPORT_DIR/$sitename.html"echo "报告已生成：$sitename.html"done

# 查询某网站的所有500错误{site="yourdomain.com"} |= " 500 "# 查询所有网站最近1小时的404数量sum(count_over_time({job="nginx"} |= " 404 "[1h]))# 按网站分组统计请求量TOP 5topk(5, sum by (site) (rate({job="nginx"}[5m])))# 搜索包含特定IP的日志{job="nginx"} |= "192.168.1.100"

# === 中央日志服务器（192.168.1.10）===# 编辑 /etc/rsyslog.conf，启用UDP接收sudo vim /etc/rsyslog.conf# 取消注释这两行：module(load="imudp")input(type="imudp" port="514")# 添加日志存储模板，按来源IP分目录$template RemoteLogs,"/var/log/remote/%FROMHOST-IP%/%$YEAR%-%$MONTH%-%$DAY%.log"*.* ?RemoteLogssudo systemctl restart rsyslog# === 各台Web服务器 ===# 在 /etc/rsyslog.d/50-default.conf 末尾添加：*.* @192.168.1.10:514sudo systemctl restart rsyslog# Nginx日志也要转发——在nginx配置中加：access_log syslog:server=192.168.1.10:514,tag=nginx_access;error_log syslog:server=192.168.1.10:514,tag=nginx_error;

第一条：切割是底线，不是可选项

任何上线超过一周的网站，日志切割必须在第一天就配好。不切割的日志文件会无限增长，一旦磁盘满了，不仅网站挂了，MySQL、Redis等服务也可能因为写不进数据而崩溃。配好logrotate只需要5分钟，但磁盘爆满后的恢复可能需要半天。

第二条：集中管理的前提是日志格式统一

如果你计划上Loki或ELK做集中式日志管理，第一步不是装软件，而是统一所有网站的Nginx日志格式。如果有的网站用combined格式、有的用自定义格式、有的日志里没有记录响应时间——到了集中平台里这些日志就没法统一查询。所有网站统一用 log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time'; 这种标准格式，后续的一切分析工具才能正常工作。

第三条：清理前先确认备份策略

日志删了就没了。在设置"保留30天自动删除"之前，确认一下：出安全事件后需要溯源多久之前的日志？一般建议网站访问日志至少保留30天，安全审计相关日志至少保留90天。如果磁盘空间紧张，可以把超过30天的日志压缩后归档到对象存储（阿里云OSS、腾讯云COS等），既省磁盘空间又能长期保留。

· 自动日志切割：建站时自动配置好logrotate，网站日志按天切割、自动压缩、默认保留30天
· 后台日志看板：UC建站后台内置了访问日志统计面板，不用连SSH就能查看每个网站的访问趋势、状态码分布、热门页面
· 磁盘告警联动：日志目录使用率超过80%时，后台自动弹通知提醒清理
· 一键日志清理：后台提供"清理N天前日志"按钮，选天数一键执行，不用敲命令
· 多站统一管理：不管建了多少个网站，所有日志设置和清理操作都在一个后台面板里完成