workerman需通过结构化json日志（含iso8601时间戳、固定字段如client_ip/event.type）写入指定文件，并用filebeat或logstash的json解析器直采，高危事件同步http上报至siem，确保5分钟内可聚合告警。
Workerman 本身不内置安全日志上报能力，但能通过标准化日志输出 + 外部采集链路，无缝接入 ELK、Loki 或 SIEM 类安全态势感知系统。关键不在“Workerman 做什么”，而在“它怎么把日志交出去”——必须确保日志结构化、时间戳准确、字段可解析、传输不丢。
Worker::log() 输出必须走文件且带结构化字段
默认的 Worker::log() 走 PHP 的 error_log()，受 php.ini 配置约束，格式不可控、字段缺失，安全平台基本无法直接消费。必须绕过它，自己控制日志内容和格式。
- 在
start.php开头强制设置Worker::$logFile为绝对路径（如/var/log/workerman/security.log），确保守护进程模式下可写 - 所有安全相关事件（如登录失败、非法参数、IP 频次超限）统一用自定义函数写入该文件，每行一个 JSON 对象，例如：
{"@timestamp":"2026-05-23T17:22:10+08:00","event.type":"auth_failure","client_ip":"192.168.3.12","user":"admin","reason":"invalid_password","rule_id":"AUTH_BRUTE"} - 禁止混用
echo或未捕获异常日志——它们不进Worker::$logFile，且无结构，会被采集器丢弃
日志采集端必须按行解析 JSON，禁用 grok
如果你用 Filebeat 或 Logstash 接入，别用 grok 解析 Workerman 安全日志。JSON 行日志天然可解析，grok 只会引入额外失败点、丢失嵌套字段、拖慢吞吐。
- Filebeat 中配置
json.keys_under_root: true和json.add_error_key: true，让每一行 JSON 直接展开为 ES 字段 - Logstash 用
jsonfilter，不是grok：filter { json { source => "message" } } - 若日志里有非法 JSON（比如某次写入没加换行或含控制字符），采集器会标
json parse error，这时要查 Workerman 写入逻辑是否用了file_put_contents(..., FILE_APPEND | LOCK_EX)保证原子写
安全规则建模依赖固定字段，不能靠 runtime 拼接
态势感知平台（如 Kibana Alerting、Elastic Security）做规则匹配时，只认索引中已存在的字段。你在日志里写 "event.type": "sql_inject"，就得确保这个字段名、值格式稳定，不能今天小写 tomorrow 驼峰，也不能靠采集端临时拼接。
- 所有事件类型统一用小写下划线命名：
auth_failure、path_traversal、rate_limit_exceed - IP 字段必须固定为
client_ip（不是ip或remote_addr），方便后续关联 geoip、威胁情报 enrichment - 时间戳必须是 ISO8601 格式并带时区（如
2026-05-23T17:22:10+08:00），否则 Kibana 时间筛选会错位，告警窗口计算失效
上报链路要防丢，尤其高危事件需同步确认
Workerman 是常驻进程，但日志从写入磁盘到进入安全平台存在延迟和断点风险。对暴力破解、RCE 尝试等高危事件，不能只依赖异步采集。
- 低频/审计类日志走 Filebeat → Kafka → Logstash → ES 链路即可
- 高危事件（如
event.type: "rce_attempt"）建议加一层同步 HTTP 上报：用curl -X POST -H 'Content-Type: application/json' --data-binary @- http://siem-gateway/security-event，并在代码里检查 HTTP 状态码是否为 200 - 注意 PHP 的
curl默认超时是 0（永不超时），必须显式设CURLOPT_TIMEOUT_MS => 2000，避免 Worker 主循环被卡住
真正难的不是写几行 JSON，而是让每条日志在 5 分钟内变成 Kibana 里的一个可点击、可聚合、可联动封禁的实体——这要求从 Workerman 写入那一刻起，字段名、时间精度、错误处理、传输协议全部对齐安全平台的期待。漏掉任意一环，日志就只是磁盘上的字节，不是安全信号。
