应建立独立、结构化、脱敏、可追溯的静态资源访问审计日志：一、用location正则分离静态请求至专用日志；二、定义精简合规的log_format；三、通过map实时脱敏敏感参数；四、配合auditd监控配置与日志文件操作。
要建立静态资源的访问审计记录，核心不是“过滤日志”，而是把静态资源请求单独归档、结构化记录，并确保关键字段合规可控。重点在于分离、精简、脱敏、可追溯。
一、让静态资源日志独立输出
避免和动态接口混在同一个 access_log 里，用 location 正则精准捕获静态后缀，写入专用日志文件：
- 在 server 块中添加匹配规则，例如：location ~* \.(js|css|png|jpg|gif|woff2?|svg|ttf|eot)$ { access_log /var/log/nginx/static_audit.log static_audit; }
- 确保该 location 在 proxy_pass 或通用 location / 之前，防止被覆盖
- 用 log_not_found off 关闭 404 静态文件刷屏，减少噪音
二、定义轻量且可审计的日志格式
静态资源访问量大，日志字段要精简但保留溯源必需信息，比如客户端 IP、时间、请求路径、状态码、字节数、Referer 和 UA：
- 在 http 块中定义：log_format static_audit '$remote_addr [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time';
- 去掉 $http_x_forwarded_for 等非必填字段，降低磁盘与解析开销
- 若需区分 CDN 或真实客户端，可结合 $realip_remote_addr（需启用 realip 模块）
三、对敏感字段做实时脱敏
URL 或查询参数中常含 uid、token、手机号等，直接记录违反《个人信息保护法》。Nginx 可通过 map + log_format 实现字段级实时掩码：
- 提取并掩码 URL 中的手机号：map $request_uri $masked_phone { ~(?
- 截取 token 前4位：map $arg_token $masked_token { ~^([a-zA-Z0-9]{4}).* "$1****"; default "-"; }
- 在 log_format 中引用这些变量，如：token="$masked_token"，不记录原始值
四、配合 auditd 做系统级操作审计（可选增强）
日志内容审计之外，还需监控谁改了配置、谁动了日志文件本身：
- 用 auditd 监控关键路径：-w /etc/nginx/ -p wa -k nginx_conf（配置读写）、-w /var/log/nginx/ -p wa -k nginx_logs（日志目录）
- 重载规则后，用 ausearch -k nginx_logs 查看谁清空或覆盖了日志
- 设置 auditctl -e 2 锁定规则，防运行时篡改
