怎么配置自定义安全日志格式仅记录遭遇 403 与 401 拦截的异常客户端风险指纹-Nginx-PHP中文网

精准记录401/403风险指纹需定制log_format（含$remote_addr、$status、$http_authorization等关键字段），限定location作用域，并用log_by_lua_block补充后端x-auth-error头，实现轻量、准确、低开销的风险日志采集。

怎么配置自定义安全日志格式仅记录遭遇 403 与 401 拦截的异常客户端风险指纹

要精准记录遭遇 401（未认证）和 403（已认证但无权限）拦截的客户端风险指纹，关键不是“过滤日志”，而是从源头定制日志格式 + 精确作用于触发这两类状态的上下文。Nginx 本身不判断业务逻辑，但它能可靠捕获响应状态码和请求元数据——只要配置得当，就能把真正可疑的访问行为单独、清晰地落盘。

明确日志目标字段：只留关键风险指纹

401/403 请求的核心风险特征是：IP 地址、请求时间、URI 路径、HTTP 方法、User-Agent、Referer，以及是否携带有效凭证（如 Token 头或 Basic Auth 用户名）。不需要记录成功响应的 body 或 cookie，避免日志膨胀。

推荐的精简日志格式定义如下：

log_format auth_risk '$remote_addr $time_iso8601 "$request" $status $request_length ' '"$http_user_agent" "$http_referer" ' '"$http_authorization" "$http_x_forwarded_for"';

$remote_addr：真实客户端 IP（若经代理，需确保 real_ip 模块已启用并配置 set_real_ip_from）
$http_authorization：可快速识别是否尝试了 Basic Auth 或 Bearer Token，为空则大概率是未认证裸请求
$http_x_forwarded_for：辅助验证代理链路，防止伪造 IP
省略 $body_bytes_sent 等非风险相关字段，降低 I/O 压力

限定作用范围：只对高风险路径启用该格式

全局开启会浪费资源。应只在认证入口、权限校验接口、管理后台路径等位置启用该日志格式，例如：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

location /api/auth/login {
access_log /var/log/nginx/401_403_risk.log auth_risk;
# 其他 auth 相关配置
}

location /admin/ {
  auth_basic "Admin Area";
  auth_basic_user_file /etc/nginx/.htpasswd;
  access_log /var/log/nginx/401_403_risk.log auth_risk;
}

这样，只有落到这些 location 的请求才写入 401_403_risk.log，天然隔离噪音
注意：Basic Auth 触发 401 时，$remote_user 为空；而 Spring Security 等后端返回的 401/403，则需确保 Nginx 能透传状态码（不被 upstream 错误页覆盖）
若使用 JWT，建议在后端统一返回 X-Auth-Status: failed 类响应头，Nginx 可通过 $sent_http_x_auth_status 进一步增强日志区分度

增强准确性：用 log_by_lua_block 补充上下文

纯 Nginx 变量无法获取后端返回的自定义错误原因（比如 “token expired” 或 “insufficient role”）。可通过 OpenResty 的 log_by_lua_block 在日志阶段读取响应头或 body 片段：

location /api/v1/ {
  proxy_pass http://backend;
  access_log /var/log/nginx/401_403_risk.log auth_risk;
  log_by_lua_block {
    local res = ngx.var.upstream_http_x_auth_error or ""
    if res ~= "" then
      ngx.log(ngx.INFO, "RISK: ", ngx.var.remote_addr, " -> ", res)
    end
  }
}