Logstash 的 user_agent 过滤器对 Composer UA 识别率低于 40%，因其依赖浏览器指纹库，而 Composer UA 极简（如 Composer/2.7.6），须改用 dissect 插件按 %{client}/%{version} (%{os}; %{kernel}; PHP %{php_version}) 模式结构化解析，并添加 fallback 规则与 composer 标签。
Composer User-Agent 字段为什么不能直接用 user_agent 过滤器解析
Logstash 的 user_agent 过滤器对 Composer 请求识别率低于 40%，因为它依赖预设的浏览器/客户端指纹库，而 Composer 的 UA 极其简陋：Composer/2.7.6 或 Composer/2.9.6 (Linux; 5.15.0-107-generic; PHP 8.2)，不含常见浏览器字段（如 AppleWebKit、Gecko），也不符合主流 UA 模式。直接丢给 user_agent 插件，结果往往是 unknown 或空字段。
更可靠的方式是用 dissect 插件做结构化切分：
- 匹配模式：
%{client}/%{version} (%{os}; %{kernel}; PHP %{php_version})，能准确提取client、version、os、php_version四个字段 - 对无括号的旧版 UA（如
Composer/2.5.8），需额外加一条规则 fallback 到%{client}/%{version} - 提取后立即用
mutate { add_tag => ["composer"] }标记，避免后续误入通用日志 pipeline
如何从 Nginx 日志里区分 install 和 update 请求
Composer 的 install 和 update 都走相同路径（/packages.json、/p/vendor/package.json），仅靠 URI 无法区分。必须让客户端透传命令类型到服务端。
做法是在客户端配置中注入自定义 header：
- 在
COMPOSER_HOME/config.json中添加："http": {"header": ["X-Composer-Command: install"]}（或update） - Nginx 反向代理层需开启
underscores_in_headers on;，否则X-Composer-Command被忽略 - 日志格式中加入
$http_x_composer_command，例如：log_format composer '$remote_addr - $http_x_composer_command [$time_local] "$request" $status $body_bytes_sent';
注意：该 header 不会被 Composer 自动设置，必须手动配置；CI 脚本中建议用 COMPOSER_HTTP_HEADER_X_COMPOSER_COMMAND=update 环境变量统一注入，比改 config.json 更可控。
统计 dist 下载量时为什么只看 302 而不是 200
Composer 下载包时，镜像源返回的是 302 Found 重定向，真实 ZIP 文件由 OSS/S3/CDN 直接提供，流量不经过你的 Nginx。若统计 200 响应，实际捕获的是重定向目标（如 https://xxx.aliyuncs.com/xxx.zip）的日志——你根本没这条日志。
正确统计方式：
- 在 Nginx 的
location ~ ^/dist/块中单独定义日志格式，确保记录$status和$request_uri - 用
awk快速验证：awk '$9 == "302" && $7 ~ /^\/dist\// {print $1,$7}' /var/log/nginx/access.log - ELK 中聚合时过滤
status: 302 AND request_uri: "/dist/*"，再按request_uri分组即可得出各包下载次数
漏掉这一步，90% 的下载量会统计不到——因为真正的字节传输发生在跳转之后，不在你的服务器上。
防火墙 TLS 拦截导致 UA 解析失败的连锁影响
当企业防火墙启用 TLS 内容识别时，它会解密并重签 HTTPS 流量，Composer 因证书校验失败而静默降级为 HTTP 或中断连接。此时日志里可能根本收不到请求，或者只看到部分 TCP 握手失败记录，UA 字段自然为空。
排查和应对要点：
- 先确认是否被拦截：
curl -vI https://mirrors.aliyun.com/composer/packages.json 2>&1 | grep "SSL certificate"，若报certificate verify failed，基本可定性 - 不要关校验（如设
secure-http false），而是导入企业根证书：composer config -g cafile /path/to/company-ca.crt - UA 伪装要同步生效：设环境变量
COMPOSER_USER_AGENT="Mozilla/5.0 (X11; Linux x86_64)..."，否则防火墙规则仍可能拦截原始 UA
最易被忽略的是：即使配置了 CA 证书，若 UA 未变更，某些深度检测策略仍会基于原始 UA 字符串触发阻断——UA 和证书必须同时到位，缺一不可。
