生产环境nginx日志需兼顾可追溯、可审计、防篡改、低干扰和合规可用，核心是分离access与error日志、自定义格式、启用logrotate轮转、敏感字段脱敏、对接syslog集中系统并限制本地留存。

生产环境的 Nginx 日志不能只满足“有记录”，而要兼顾可追溯、可审计、防篡改、低干扰和合规可用。核心思路是：分离日志类型、控制输出粒度、限制访问权限、统一落盘路径、对接集中系统，同时避免在高并发下因日志拖慢服务。

按用途拆分 access 和 error 日志

默认共用一个日志文件会混杂信息，排查效率低，也难做权限隔离。应明确分工：

• access_log 专注业务请求：记录客户端 IP、时间、URI、状态码、响应体大小、上游响应时间（$upstream_response_time）、请求头中的关键标识（如 $http_x_request_id）；不记录敏感字段（如密码、token）；建议使用自定义日志格式，例如：

log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" $request_time $upstream_response_time ' '$http_x_request_id';

• error_log 独立存放、等级收紧：生产环境建议设为 warn 或 error，避免 info 级刷屏；路径单独指定（如 /var/log/nginx/error.log），禁止写入 /tmp 或根分区；确保磁盘配额或轮转策略到位，防止撑爆系统。

启用日志轮转与磁盘保护

不轮转的日志会无限增长，既占空间又影响检索。推荐用 logrotate 而非 Nginx 自带的 reopen，更稳定可控：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

• 配置每日切割 + 保留 30 天 + 自动压缩（compress）；
• 添加 copytruncate：避免重命名后 Nginx 因 fd 未刷新继续写旧文件；
• 设置 maxsize 100M 作为兜底，防止单日突增打满磁盘；
• 所有日志目录（/var/log/nginx/）属主设为 root:adm，权限 0750，禁止普通用户读取。

脱敏敏感字段与限制日志内容

日志中若含手机号、身份证、token、完整 query 参数，将直接违反等保、GDPR 等要求。必须前置过滤：

• 用 map 指令对特定参数值做掩码处理，例如将 phone=138****1234 替换为 phone=REDACTED；
• 禁用记录 $request_body（除非调试且明确关闭生产）；
• 对登录、支付类 URI（如 /api/v1/login）单独配置精简日志格式，跳过 $args；
• 不记录 Authorization、X-Api-Key 等敏感请求头——Nginx 默认就不记，但需确认未被自定义 log_format 意外引入。

对接集中日志系统并限制本地留存

本地日志只是临时缓冲，真正价值在于汇聚分析。应做到：

• 用 syslog 协议将 access/error 日志实时发往远程日志中心（如 Loki、ELK、Graylog），Nginx 配置示例：

access_log syslog:server=192.168.10.50:514,facility=local7,tag=nginx_access main; error_log syslog:server=192.168.10.50:514,warn;

• 本地仅保留最近 3 天原始日志，其余全部归档或删除；
• 远程日志系统开启传输加密（TLS）、身份认证、写入权限控制；
• 为 audit 类操作（如后台管理、配置变更）启用独立 access 日志流，并打上 log_tag audit 标识，便于 SOC 审计提取。