生产实战：构建针对 Nginx 慢日志（Slow Log）的实时微信/钉钉告警-Nginx-PHP中文网

nginx慢请求告警需通过access_log的$request_time字段提取超时请求，结合阈值与频次规则判定；用python流式解析日志，按ip/url聚合并滑动窗口统计，触发钉钉或企业微信告警，注意签名、代理与去重。

生产实战：构建针对 nginx 慢日志（slow log）的实时微信/钉钉告警

直接用日志内容触发告警，关键在“快捕获、准识别、稳送达”。Nginx 本身不生成标准 Slow Log，需通过 access_log 中的 $request_time 或 $upstream_response_time 字段提取响应超时请求，再结合阈值与频次规则判定是否告警。

Nginx 配置中必须启用响应时间字段：

在 http 或 server 块中定义日志格式，例如：
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $upstream_response_time';
确保 access_log 使用该格式，并确认日志路径可被监控脚本读取（如 /var/log/nginx/access.log）
重启 Nginx 生效：nginx -s reload

推荐使用 tail -F 流式读取 + 正则匹配，避免轮询和日志截断问题：

由于微信的大热，为了更好的方便使用微信的用户查询一些信息，这篇文章是入门级的微信公众平台开发教程，需要的朋友可以参考下这篇入门教程将引导你完成如下任务：创建百度云平台应用启用微信公众平台开发模式获取订阅、文字、图片、语音、视频消息回复文本、图文及音乐消息程序开发

下载

匹配示例（响应时间 ≥2000ms）：
pattern = r'(\d+\.\d+\.\d+\.\d+) .*?"(GET|POST) (.*?)" (\d{3}) .+? (\d+\.\d+) (\d+\.\d+)$'
其中第5组为 $request_time（单位秒），转换为毫秒后判断是否超 2000
每条匹配记录记录 IP、URL、耗时、时间戳，缓存在内存字典中（按 IP 或 URL 聚合）
设定滑动窗口：例如 1 分钟内同一 IP 出现 ≥3 次 >2s 请求，即触发告警
告警内容包含可定位信息：
“[慢响应告警] 192.168.1.100 访问 /api/order 用时 2480ms（阈值2000ms），近60秒共触发4次”

微信需走企业微信自建应用或第三方网关，钉钉更轻量，但要注意生产约束：

Webhook 地址中的 access_token 必须保密，建议存入环境变量或配置文件（权限设为 600）
发送时添加 timestamp 和 sign（钉钉要求签名防篡改），Python 可用 hmac + base64 生成
内网服务器无法直连互联网？需部署正向代理（如 Nginx + ngx_http_proxy_connect_module），将 https://oapi.dingtalk.com 映射为内网地址
避免高频发送：同一类慢请求告警 5 分钟内去重，或合并为“汇总消息”