关键操作清单必须对齐业务风险点，覆盖user_login、user_password_change、admin_role_grant、data_delete、config_update等高危动作，登录失败需记录，低风险行为应排除；医疗金融系统需额外核对行业敏感操作；日志action字段须语义清晰可检索；eloquent模型变更应通过static::updating/updated钩子捕获，避免accessor漏记；非模型路径操作需pdo封装或数据库代理兜底；日志须含user_id、ip、target_id、status、时间戳等最小必要字段，禁记敏感信息；生产环境用monolog+streamhandler并锁定日志文件；多入口多认证场景需全路径验证日志覆盖。
关键操作清单是否对齐业务风险点
审计日志有没有“漏记”，第一关是看它覆盖的操作类型是否匹配真实业务里的高危动作。不是所有 CRUD 都要记，但 user_login、user_password_change、admin_role_grant、data_delete、config_update 这几类必须在日志里明确出现——它们对应权限提升、数据擦除、配置篡改等真实攻击路径。
登录失败也得进日志，这是暴力破解的直接信号；而页面渲染、静态资源请求这类低风险行为，塞进去只会稀释有效信息、撑爆磁盘。
- 检查代码中所有调用日志的地方，确认是否显式传入了上述 action 字符串，而不是泛泛写成
'update'或'save' - 医疗、金融类系统还要额外核对行业敏感动作，比如
view_patient_record、approve_loan - 别依赖“写了日志就等于覆盖了”，重点看日志条目里
action字段的值是否可区分、可检索
Eloquent 模型变更是否真被捕获
在 Laravel 项目里，只在 setBalanceAttribute 或 $casts 里加日志，90% 的变更根本不会触发。因为批量更新（如 User::where(...)->update([...])）、原生查询（DB::table()->where()->update()）、甚至字段不在 $fillable 时的 save()，全绕过 accessor/mutator。
真正可靠的是模型事件钩子：static::updating() 和 static::updated()。它们在 SQL 执行前后触发，且只要走 Eloquent ORM 就必经此路。
- 必须在
updating中用$model->isDirty('field')判断字段是否真被改，避免空日志 - 在
updated中比对$model->getOriginal('balance')和$model->balance，而不是读当前属性值 - 事务内多次修改同一模型实例时，
accessor可能重复执行，但审计只应记录最终落库状态
非模型路径的操作是否被兜底
很多关键操作根本不经过 Eloquent：后台配置页直连 DB::statement()、定时任务跑的 DB::table('settings')->update()、甚至第三方 SDK 调用的原生 PDO 查询。这些地方日志最容易断档。
最稳妥的兜底方式是封装 PDO 或使用数据库代理层，而不是靠人工补日志点。
- 如果用 PDO，重写
execute()方法，在执行前记录$sql、$params、$action（从 SQL 提取 INSERT/UPDATE/DELETE） - MySQL 通用日志（
general_log = 1）能全量捕获，但性能损耗大，仅适合短期排查，不能长期开启 - ProxySQL 或 MaxScale 这类代理可解耦审计逻辑，但运维成本高，中小项目优先考虑 PDO 封装
- ThinkPHP 项目建议统一走中间件（如
AdminLogMiddleware），但它只管 HTTP 请求入口，定时任务和 CLI 命令仍需单独 hook
日志内容是否包含可追溯的最小必要字段
一条审计日志没带 user_id 或 ip，等于没记；没带 target_id（比如被删的订单 ID），就无法定位影响范围；没带 status（成功/失败），就分不清是误操作还是攻击得手。
时间戳必须用服务器本地时间（date('c')），不能依赖客户端传入；action 必须语义清晰，不能只写 'delete'，而要写成 'order_delete' 或 'user_delete_by_admin'。
- 避免把密码、token、身份证号等敏感字段写进日志，哪怕已加密——日志文件权限再严，也挡不住内部提权
-
error_log()写文件虽简单，但并发高时容易丢日志；生产环境必须用 Monolog +StreamHandler，并配chattr +a锁定日志文件防篡改 - 日志路径不能放在 Web 目录下（如
/public/log/），必须设为/var/log/或项目外独立目录
Log::channel('audit') 调用。php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
