中间件中需提前读取并重置请求体、在terminate中获取响应内容，敏感字段须统一脱敏，日志应异步处理避免阻塞，且需防止headers已发送导致的警告。
中间件里怎么拿到完整请求和响应内容
直接在 handle 方法里用 $request->all() 或 $response->getContent() 通常拿不到预期数据——前者可能为空（比如 JSON 请求体没被解析），后者在中间件执行时响应还没生成。
正确做法是：对请求体做「提前读取 + 重置」，对响应做「缓冲拦截」。Laravel 的 Request 对象底层是 Symfony 的 Request，输入流只能读一次，不重置就丢数据；响应则要等整个中间件链跑完才能获取内容。
- 读请求体前先调用
$request->getContent()，再用$request->duplicate()重建请求对象（保留原始参数、文件、headers） - 响应日志必须放在
terminate方法里，不能写在handle中——因为此时$response还是空壳，getContent()返回空字符串 - 如果用了流式响应（如
StreamedResponse），getContent()会失效，得换监听response.send事件或改用日志中间件 + 响应装饰器
Laravel 日志中间件该不该记录敏感字段
记录 password、token、credit_card 这类字段，不是“要不要”的问题，而是“不屏蔽就违规”。Laravel 自带的 LogContext 不会自动脱敏，全靠手动过滤。
常见错误是只过滤 POST 表单，漏掉 JSON 请求体里的同名字段；或者用 unset() 破坏原始请求结构，导致后续中间件或控制器逻辑异常。
PHP中文网提供Laravel 13.2.0版本下载，Laravel框架 是基于 PHP 8.3+ 的高性能框架，官方推荐通过 Composer 安装。它内置 AI SDK、JSON:API Resources 及原生向量搜索，支持属性驱动开发与队列路由，大幅提升开发效率。相比旧版，13.2.0 优化了缓存 TTL 管理与实时通信，无需 Redis 即可横向扩展。作为现代 Web 开发首选，它兼顾安全与极速体验，助您快速构建企业级应用。
- 统一用
Arr::except($data, ['password', 'api_token', 'card_number'])处理请求数据，别直接 unset - 检查
$request->header('Authorization')和$request->bearerToken()，这类 token 必须抹掉，不能只清 body - 避免在日志里拼接完整 URL（含 query 参数），用
$request->url()+$request->query()分离处理，方便单独过滤 query 中的敏感 key
高并发下写日志导致响应变慢怎么办
同步写文件（尤其是每次请求都 file_put_contents(..., FILE_APPEND)）在 QPS 超 50 后就会明显拖慢响应，更别说用 Log::info() 写到 daily 文件——它本质也是同步磁盘 I/O。
根本矛盾在于：日志需要持久化，但 HTTP 请求不能等磁盘。解决方案不是“少记点”，而是“换通道”。
- 把日志推给
stderr，由 supervisord / systemd 捕获并转存，中间件里只做格式化，不碰文件 - 用 Laravel 的
stack日志驱动，把访问日志单独配成monolog的RotatingFileHandler并设bubble=false，避免污染业务日志 - 绝对不要在中间件里调用
sleep()、dd()或任何阻塞操作——哪怕只是临时加的调试代码，上线后就是雪崩起点
为什么日志里经常看到 “PHP Warning: Cannot modify header information”
这个错误和日志中间件强相关：你在 terminate 里调用 Log::info() 之前，如果前面某个中间件或控制器已经输出了内容（比如 echo、var_dump、未捕获的 Notice），PHP 的 headers 就已发送，后续任何框架级日志写入（尤其用了某些 Monolog handler）可能触发 flush 输出，撞上已关闭的输出流。
这不是 Laravel bug，是 PHP SAPI 层限制。Apache、PHP-FPM 对 headers 发送时机极其敏感。
- 检查是否在中间件或模型 observer 里用了
echo、print_r()、trigger_error() - 禁用所有
display_errors = On，线上环境必须关；开发环境也建议用 IDE 断点代替dd() - 用
headers_sent()在terminate开头加个守卫：如果已发送，跳过日志写入，至少保主流程不报错
