在容器化环境中实现nginx日志统一采集与告警，需将nginx日志输出至stdout/stderr，用fluent bit采集解析后送入loki等后端，并基于logql对5xx错误率、异常请求等指标设置告警规则，同时注意时区统一、日志驱动配置及链路验证。
在容器化环境中实现 Nginx 日志的统一采集与告警，核心是把日志从容器中可靠导出、集中收集、结构化解析，并基于关键指标（如 5xx 错误率、请求延迟、异常 UA 或 IP 频次）触发告警。不依赖宿主机路径，也不手动轮转日志。
让 Nginx 容器输出日志到 stdout/stderr
这是统一采集的前提。Nginx 默认写文件，需改造成标准输出流：
- 在容器启动时，用 nginx -g "daemon off;" 确保前台运行
- 重定向 access_log 和 error_log 到 /dev/stdout 和 /dev/stderr，例如：
access_log /dev/stdout main;
error_log /dev/stderr warn; - Dockerfile 或 Helm values 中关闭 logrotate，避免干扰采集链路
用 Fluent Bit 或 Filebeat 做容器日志采集器
推荐 Fluent Bit（轻量、原生支持 Kubernetes、插件丰富）：
- 以 DaemonSet 方式部署，自动捕获本节点所有容器 stdout/stderr
- 通过 parser filter 解析 Nginx access 日志（如使用 regex 插件匹配
$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent"） - 打上标签（如
app: nginx, env: prod），并路由到后端（如 Loki + Grafana，或 Elasticsearch + Kibana）
在可观测平台中定义告警规则
以 Loki + Promtail + Grafana 为例：
- 用 LogQL 查询高错误率：例如
rate({job="nginx-logs"} |~ " 5[0-9]{2} " [5m]) > 0.05（5 分钟内 5xx 占比超 5%） - 检测高频异常请求：如
count_over_time({job="nginx-logs"} |~ "Blocked|sqlmap|nmap" [10m]) > 10 - 结合 Prometheus 指标（如 nginx_exporter 抓取的
nginx_connections_active）做复合告警，避免日志延迟导致误判 - 告警通知接入企业微信、钉钉或 PagerDuty，附带原始日志上下文链接
补充建议：避免常见坑
实际落地中容易忽略的关键点：
- 确保容器 runtime（如 containerd）的日志驱动为 json-file（默认），且未开启压缩或限速，否则 Fluent Bit 可能丢日志
- Nginx 的
$time_local是本地时区，采集后统一转为 UTC，否则多集群时间对不齐 - 大流量场景下，避免在 Fluent Bit 中做复杂过滤，优先用 Loki 的 LogQL 在查询侧处理
- 测试阶段用
curl -v触发 500 错误，验证整条链路（容器日志 → 采集器 → 存储 → 告警）是否连通
