如何利用 log_format 引入连接耗时变量精准排查静态分发链路的回源毛刺-Nginx-PHP中文网

精准排查静态分发回源毛刺需聚焦$upstream_connect_time，它单独反映TCP建连耗时，应显式写入日志并结合MISS/EXPIRED、静态资源后缀、>100ms等条件筛选，再通过upstream_addr分布、跨区对比、DNS变化定位连接池不足、网络抖动或解析问题。

如何利用 log_format 引入连接耗时变量精准排查静态分发链路的回源毛刺

要精准排查静态分发链路中的回源毛刺，关键不是只看响应时间，而是把连接建立阶段的耗时单独剥离出来——$upstream_connect_time 就是这个变量。它记录 Nginx 与上游服务器（如源站）完成 TCP 连接握手所用的时间（单位：秒，精度毫秒），不包含 SSL 握手或请求发送时间，因此能干净地反映网络层和源站连接池健康度问题。

在 log_format 中显式嵌入连接耗时变量

默认日志格式不包含该字段，必须手动加入。推荐在缓存日志格式中一并记录：

log_format cache_log '$remote_addr - $remote_user [$time_local] '
                      '"$request" $status $body_bytes_sent '
                      '"$http_referer" "$http_user_agent" '
                      '$upstream_cache_status $upstream_connect_time $upstream_response_time $request_time';

注意三点：

$upstream_connect_time 仅在 proxy_pass 成功发起连接后才有值；若连接失败（如超时、拒绝），该变量为空或为“-”，需在分析时过滤或标记为异常
务必与 $upstream_response_time（从发起到收到完整响应）和 $request_time（整个请求处理耗时）并列记录，便于做差值分析：例如 $request_time − $upstream_response_time 可估算 Nginx 本地处理开销
若使用 HTTPS 回源，还需关注 $upstream_ssl_handshake_time（Nginx 1.19.5+ 支持），它和 connect_time 分离，可判断毛刺是否来自 TLS 协商

聚焦静态分发场景下的有效筛选条件

静态资源（如 JS/CSS/IMG）通常命中缓存，但一旦出现 MISS 或 EXPIRED，就会触发回源。此时连接耗时突增，就是毛刺根源之一。建议按以下组合过滤日志样本：

限定请求方法为 GET，且 URI 后缀属于静态类型（.js|.css|.png|.jpg|.woff2 等）
缓存状态为 MISS 或 EXPIRED（排除 HIT 和 STALE 的干扰）
$upstream_connect_time > 0.1（即 >100ms，明显偏离基线）
同时满足 $upstream_response_time 接近 $upstream_connect_time（说明耗时几乎全花在建连，而非传输或源站处理）

关联分析定位三类典型毛刺成因

拿到高 connect_time 样本后，结合其他字段交叉验证：

源站连接池不足：观察 $upstream_addr 字段是否集中指向某台后端 IP + 端口；再查该节点的 TIME_WAIT 连接数或 accept queue 溢出日志
跨可用区网络抖动：比对同一时刻不同 upstream_addr 的 connect_time 分布；若某可用区 consistently 偏高，检查云厂商网络监控或 traceroute 跳点延迟
DNS 解析不稳定：若 $upstream_addr 频繁变化且 connect_time 波动大，检查 resolver 配置是否启用了 valid 缓存，或 upstream 使用了域名而非 IP

配套建议：设置连接级告警与基线水位

不要只依赖事后日志排查。可在 Nginx 配置中启用实时连接耗时统计：

用 upstream 块的 zone 指令开启共享内存统计，配合 stub_status 或自定义 API 暴露各 upstream 的 connect_time p95/p99
在日志采集侧（如 SLS 或 Loki）配置告警规则：过去 5 分钟内，EXPIRED OR MISS 请求中 upstream_connect_time > 200ms 的比例超过 5%
将 connect_time 基线写入文档：例如“同地域 IDC 回源 connect_time p95 应 ≤ 30ms”，作为容量评估和故障复盘的标尺