Shell监控Nginx日志需先明确阈值（如每分钟≥10个5xx），再用tail -F实时流式过滤，结合awk统计并触发邮件/curl告警，注意日志轮转兼容与权限配置。
用 Shell 脚本实时监控 Nginx 日志并自动报警，核心是结合 tail -f 持续读取日志、用 awk/grep 过滤异常模式（如 5xx 错误、高频 404、IP 频繁访问），再通过简单条件判断触发通知（邮件、curl 推送、或本地命令）。
1. 明确监控目标和触发条件
盲目监控日志容易误报。先确定你要响应的行为，例如：
- 每分钟内出现 ≥10 个 500/502/503/504 错误
- 单个 IP 在 60 秒内请求 ≥50 次（防扫描或攻击）
- 连续 3 行日志中包含 “upstream timed out” 或 “no live upstreams”
建议先用 awk '{print $9}' access.log | sort | uniq -c | sort -nr | head 快速探查错误码分布，再决定阈值。
2. 基础实时监控脚本（按错误码计数）
以下是一个轻量、无依赖的示例（保存为 nginx_alert.sh）：
#!/bin/bash
LOG_FILE="/var/log/nginx/access.log"
ALERT_THRESHOLD=10
WINDOW_SEC=60
TMP_COUNT="/tmp/nginx_5xx_count"
<h1>初始化计数文件</h1><p>[ ! -f "$TMP_COUNT" ] && echo "0 $(date +%s)" > "$TMP_COUNT"</p><p>while true; do</p><h1>统计最近 60 秒内的 5xx 数量（需日志时间格式为 "DD/Mon/YYYY:HH:MM:SS"）</h1><p>COUNT=$(awk -v now=$(date +%s) -v window=$WINDOW_SEC '
{</p><h1>提取日志时间字段（假设第4字段是 "[DD/Mon/YYYY:HH:MM:SS"）</h1><pre class="brush:php;toolbar:false;"> if (NF >= 4 && match($4, /\[[0-9]+\/[A-Za-z]+\/[0-9]{4}:[0-9]{2}:[0-9]{2}:[0-9]{2}/)) {
tstr = substr($4, 2)
cmd = "date -d \"" tstr "\" +%s 2>/dev/null"
cmd | getline ts
close(cmd)
if (ts != "" && (now - ts) <p>' "$LOG_FILE")</p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting"><img
src="https://img.php.cn/upload/skill/000/000/081/179116929868126.jpg" alt="Nginx Hosting" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="overflowclass">Nginx Hosting</a>
<p class="overflowclass">通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。</p>
</div>
<a rel="nofollow" href="/xiazai/skill6848" title="Nginx Hosting" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div><h1>更新计数文件（带时间戳）</h1><p>echo "$COUNT $(date +%s)" > "$TMP_COUNT"</p><h1>判断是否超限</h1><p>if [ "$COUNT" -ge "$ALERT_THRESHOLD" ]; then
echo "$(date): ALERT! $COUNT recent 5xx errors in $WINDOW_SEC seconds" | logger -t <a style="color:#f60; text-decoration:underline;" title="nginx" href="https://m.php.cn/zt/16000.html" target="_blank">nginx</a>-monitor</p><h1>发送邮件（需系统已配置 sendmail 或 msmtp）</h1><pre class="brush:php;toolbar:false;">echo "High 5xx rate detected on $(hostname)" | mail -s "Nginx Alert" admin@example.com
# 或用 curl 推送到企业微信/钉钉（替换 webhook URL）
# curl -X POST -H 'Content-Type: application/json' -d '{"msgtype":"text","text":{"content":"Nginx 5xx spike!"}}' https://qyapi.weixin.qq.com/...
# 防止重复报警：休眠 5 分钟后再继续检测
sleep 300fi
sleep 5 done
3. 更稳定的方案：用 tail + awk 流式处理（避免反复扫全量日志）
上面脚本会每次重读整个日志，效率低。推荐用管道流式处理：
#!/bin/bash
LOG_FILE="/var/log/nginx/access.log"
ALERT_FILE="/tmp/nginx_alert_flag"
<h1>清除旧报警标记</h1><blockquote><p>"$ALERT_FILE"</p></blockquote><h1>实时监听新增日志行，匹配 5xx 并计数（每 60 秒重置）</h1><p>tail -n 0 -f "$LOG_FILE" | awk '
BEGIN {
threshold = 10
window = 60
count = 0
start_ts = systime()
}
{</p><h1>提取状态码（第9字段）和时间（第4字段）</h1><p>if (NF >= 9 && $9 ~ /^5[0-9]{2}$/) {
count++
}</p><h1>每满 60 秒检查一次</h1><p>now = systime()
if (now - start_ts >= window) {
if (count >= threshold && ENVIRON["ALERT_FILE"] != "") {</p><h1>写入报警标记（供外部脚本轮询或触发）</h1><pre class="brush:php;toolbar:false;"> printf "%s: %d 5xx in %d sec\n", strftime(), count, window > ENVIRON["ALERT_FILE"]
system("logger -t nginx-monitor \"ALERT: " count " 5xx errors\"")
# 此处可直接调用 curl/mail，但建议分离告警逻辑以利维护
}
count = 0
start_ts = now} }'
然后另起一个轻量脚本定期检查 /tmp/nginx_alert_flag 是否有新内容，有则发送通知并清空——实现监控与告警解耦。
4. 实际部署注意事项
-
日志轮转兼容：Nginx 的
logrotate可能触发kill -USR1重开日志文件，tail -f默认会中断。加--follow=name（GNU tail）或用tail -F更可靠 -
权限问题：确保运行脚本的用户有读取
/var/log/nginx/access.log权限（如加入adm组） -
避免漏报：不要只依赖
tail -f启动瞬间的偏移；生产环境建议配合systemd管理服务，设置Restart=always -
进阶替代：高频率或复杂规则场景，建议迁移到
filebeat + elasticsearch + elastalert或mtail，Shell 适合轻量、快速验证和兜底
不复杂但容易忽略细节。从明确阈值开始，用 tail -F + awk 流式过滤，再分层做通知，就能稳住基本盘。
