关键是以“谁在什么场景下做了什么”构建可比组合，需规范nginx日志字段，聚焦来源×设备×协议、域名×路径×状态码、小时×referer类型×响应时长三类高价值交叉，并用goaccess或csv透视分析，识别空referer/伪造ua偏差，按小时粒度深挖行为断层。
要通过多维交叉报表洞察用户访问偏好，关键不是堆砌维度，而是围绕“谁在什么场景下做了什么”构建可比、可归因的组合。Nginx 日志本身是扁平的文本流，必须先确保日志格式包含必要字段（如 $host、$http_referer、$http_user_agent、$status、$request_time），再按业务逻辑分层聚合。
选对核心交叉维度，避免无效组合
高频但低价值的交叉（比如“IP × 时间秒级戳”）会淹没信号。真正反映偏好的组合通常聚焦三类关系：
- 来源 × 设备 × 协议：例如 “来自 search.google.com 的 Chrome 用户中，HTTPS 占比是否显著高于其他 Referer？”，可识别 SEO 流量的现代化程度
- 域名 × 路径 × 状态码：例如 “api.example.com 下 /v2/orders 的 429（限流）请求，是否集中在移动端 User-Agent？”——指向客户端重试策略或 SDK 版本问题
- 小时段 × Referer 类型 × 响应时长：例如 “工作日上午 9–11 点，来自企业官网（referer 包含 company.com）的请求平均 $request_time 比其他时段高 300ms”，可能暗示内部系统集成调用变慢
用轻量工具快速生成交叉报表
不依赖 ELK 也能做有效交叉。以 GoAccess 为例，它原生支持多维联动视图：
- 启用 --real-time-html 启动后，在 Web 界面点击「Referrers」→ 再点击某条 Referer → 自动下钻显示该来源下的「User Agents」「Requested Files」「Status Codes」分布
- 命令行导出 CSV 后，用 Excel 数据透视表：行设为 hour($time_local)，列设为 substr($http_user_agent, 0, 12)（提取浏览器标识），值设为 count，即可看到各浏览器每小时活跃趋势
- 若需 Referer + 路径联合分析，先用 awk 提取两字段并标准化空值：
awk -F'"' '{r=$4==""?"Direct":$4; p=$7; if(p~/^\/api\//) print r,p}' access.log | sort | uniq -c | sort -nr
识别偏好偏差：空 Referer 和 User-Agent 伪造需单独建模
直接访问（空 Referer）和脚本请求（如 curl、python-requests）常被误判为“高价值用户”，但实际行为模式完全不同：
- 将空 Referer 请求按 $http_user_agent 分组：若其中 70% 的 UA 包含 “bot”、“spider”、“monitor”，就应从“用户偏好”报表中剥离，另建“自动化流量”看板
- 对主流浏览器 UA 做指纹校验：例如 Chrome/125+ 通常伴随 Sec-CH-UA 头，日志中缺失该头却标称 Chrome 的请求，大概率是伪造，应归入“异常 UA”维度
- 同一 IP 在 1 小时内请求 50+ 个不同路径且 UA 高度一致，优先标记为爬虫而非真实用户偏好
时间粒度决定洞察深度
全天总量交叉会掩盖行为断层。例如 “移动端占比 65%” 这一数字，拆到小时维度可能呈现强周期性：
- 晚 8–11 点：iOS Safari 占移动流量 82%，多为视频页请求
- 早 7–9 点：Android Chrome 占比升至 76%，集中于登录页和消息通知
- 午休 12–1 点：微信内置浏览器突增，但停留时长中位数仅 12 秒——说明是分享引流，非主动搜索
这种差异无法从日总表看出，必须固定为小时切片后，再对每个时段做 Referer × UA × 路径交叉统计。
