linux中通过rsyslog按级别分流日志需在/etc/rsyslog.d/下建自定义规则文件，用facility.priority语法匹配（如authpriv.err），严格规则须置于宽泛规则之上，并验证语法、重启服务后测试。

Linux 中通过 rsyslog 实现“不同级别日志写入不同文件”，核心在于配置 /etc/rsyslog.d/ 下的自定义规则文件，利用 facility + priority + 输出路径 的组合精确分流。不推荐直接改主配置（/etc/rsyslog.conf），避免升级覆盖或误操作。

明确日志来源与级别含义

每条日志由两部分标识：

• Facility（设施）：表示日志来源，如 authpriv（SSH 登录）、cron（定时任务）、daemon（后台服务）、local0–local7（程序自定义）
• Priority（优先级）：数字 0–7，从高到低为 emerg、alert、crit、err、warning、notice、info、debug

配置中用 facility.priority 表示“该设施下 ≥ 某级别的所有日志”。例如 authpriv.warning 表示 authpriv 设施中 warning 及更严重（crit/alert/emerg）的日志。

按级别拆分到不同文件的典型配置

在 /etc/rsyslog.d/10-custom-levels.conf 中写入（可新建）：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

# 将 authpriv 的警告及以上写入 secure-warn.log
authpriv.warning /var/log/authwarn.log
<h1>将 authpriv 的错误及以上单独存为 secure-err.log（比 warning 更严格）</h1><p>authpriv.err /var/log/autherr.log</p><h1>将 daemon 的 notice 及以上（含 info、warning、err…）写入 daemon-main.log</h1><p>daemon.notice /var/log/daemon-main.log</p><h1>将 daemon 的 debug 级别单独归档（注意：debug 是最低级，需显式启用）</h1><p>daemon.debug /var/log/daemon-debug.log
</p>

⚠️ 注意顺序：rsyslog 自上而下匹配，**更严格的规则要放在更宽泛规则之前**，否则会被提前捕获。比如 authpriv.err 必须写在 authpriv.warning 上方，否则 err 级别已被 warning 规则覆盖。

确保目标目录可写且格式兼容

• 手动创建目标目录并设权限：sudo mkdir -p /var/log/myapp && sudo chown syslog:syslog /var/log/myapp
• 若日志含中文或特殊字符，确认 rsyslog 使用 UTF-8：在 /etc/rsyslog.conf 或自定义 conf 文件顶部加一行 $DefaultCharset UTF-8
• 避免路径含空格或特殊符号；建议用短横线而非下划线命名文件（如 auth-err.log）

验证与生效

• 语法检查：sudo rsyslogd -N1（返回 0 表示配置无误）
• 重启服务：sudo systemctl restart rsyslog
• 手动触发测试日志：logger -p authpriv.warning "test warning" 和 logger -p authpriv.err "test error"
• 查看对应文件是否收到内容：sudo tail -n 2 /var/log/authwarn.log 和 sudo tail -n 2 /var/log/autherr.log