text
$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent"

   text
Nginx：1.30.6（stable，2026-10-14）、1.28.3（legacy）
       1.31.8（mainline，2026-10-21）
       对照：1.26.3（老版本，模块 API 不同）

操作系统：Rocky Linux 9.6 / Ubuntu 24.04
上游：php-fpm 8.2、Java/Spring Boot、Go
日志：默认写本地文件；可选 syslog，或用 vector/filebeat 采集

关键版本差异（会影响日志字段）：
  - escape=json 自 1.11.8 起支持
  - $upstream_bytes_sent 自 1.15.8 起支持
  - $request_length 很早就支持
  - $upstream_response_time 支持多值（重试/内部跳转时逗号分隔）
  - $ssl_protocol / $ssl_cipher 需在 http 层启用 ssl
  - $proxy_protocol_addr 需要 listen ... proxy_protocol
  - 1.23.0 起，同名 header 在 $http_*/$upstream_http_* 中会被合并

   text
upstream_addr: 10.20.1.11:8080, 10.20.1.12:8080
upstream_status: 502, 200
upstream_response_time: 0.001, 0.032
request_time: 0.041

   nginx
log_format edge 'ip=$remote_addr - $remote_user [$time_local] "$request" '
                'st=$status bs=$body_bytes_sent ref="$http_referer" ua="$http_user_agent" '
                'm=$request_method uri=$uri '
                'rt=$request_time urt=$upstream_response_time '
                'uct=$upstream_connect_time uht=$upstream_header_time '
                'upa=$upstream_addr us=$upstream_status ucs=$upstream_cache_status '
                'rl=$request_length host=$host sn=$server_name '
                'ms=$msec rid=$request_id lrs=$limit_req_status';

   nginx
log_format json_combined escape=json
'{'
'"time":"$time_iso8601",'
'"msec":$msec,'
'"remote_addr":"$remote_addr",'
'"x_forwarded_for":"$http_x_forwarded_for",'
'"request_method":"$request_method",'
'"uri":"$uri",'
'"args":"$args",'
'"request":"$request",'
'"status":$status,'
'"body_bytes_sent":$body_bytes_sent,'
'"request_length":$request_length,'
'"request_time":$request_time,'
'"upstream_addr":"$upstream_addr",'
'"upstream_status":"$upstream_status",'
'"upstream_response_time":"$upstream_response_time",'
'"upstream_connect_time":"$upstream_connect_time",'
'"upstream_header_time":"$upstream_header_time",'
'"upstream_cache_status":"$upstream_cache_status",'
'"host":"$host",'
'"server_name":"$server_name",'
'"server_addr":"$server_addr",'
'"http_referer":"$http_referer",'
'"http_user_agent":"$http_user_agent",'
'"request_id":"$request_id",'
'"connection":"$connection",'
'"connection_requests":$connection_requests,'
'"scheme":"$scheme",'
'"limit_req_status":"$limit_req_status",'
'"ssl_protocol":"$ssl_protocol"'
'}';

   nginx
map $args $args_masked {
    default $args;
    "~*(token|password|secret)=[^&]*" "[REDACTED]";
}

   nginx
# 正常请求不记，异常请求记全量
map $status $loggable {
    ~^[23]  0;
    default 1;
}
access_log /var/log/nginx/access.log json_combined if=$loggable;

   nginx
# 1% 采样，按 IP+连接号哈希，保证同一连接要么都记要么都不记
split_clients "${remote_addr}${connection}" $sampled {
    1%      "1";
    *       "0";
}
access_log /var/log/nginx/sample.log json_combined if=$sampled;

   nginx
# 只信任代理来源
set_real_ip_from 10.20.0.0/16;
set_real_ip_from 203.0.113.10;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

   bash
curl -s -H 'X-Forwarded-For: 1.2.3.4' http://10.20.30.40/healthz
tail -n 1 /var/log/nginx/access.log

   bash
# 提取 rt= 数值，计算 P50/P95/P99/最大值/慢请求占比
LOG=/var/log/nginx/access.log
THRESH=1.0    # 慢请求阈值，秒

awk -v t="$THRESH" '
{
  for (i=1; i<=NF; i++) {
    if ($i ~ /^rt=/) { v = substr($i, 4); break }
  }
  if (v == "" || v == "-") next
  a[++n] = v + 0
  if (v + 0 > t) slow++
  sum += v + 0
}
END {
  if (n == 0) { print "no data"; exit }
  asort(a)
  # 下标夹紧到 [1, n]，避免样本很小时取到未赋值的空元素
  p50 = a[(int(n*0.50) < 1 ? 1 : int(n*0.50))]
  p95 = a[(int(n*0.95) < 1 ? 1 : int(n*0.95))]
  p99 = a[(int(n*0.99) < 1 ? 1 : int(n*0.99))]
  printf "count=%d  avg=%.3fs  p50=%.3fs  p95=%.3fs  p99=%.3fs  max=%.3fs  over%.1fs=%.2f%%\n", \
    n, sum/n, p50, p95, p99, a[n], t, slow*100/n
}' "$LOG"

   bash
# 纯 sort 方案：更慢但通用
grep -o 'rt=[0-9.]*' "$LOG" | cut -d= -f2 | sort -n | awk '
{ a[NR]=$1; s+=$1 }
END {
  if (NR==0) { print "no data"; exit }
  printf "count=%d avg=%.3fs p50=%.3fs p95=%.3fs p99=%.3fs max=%.3fs\n", \
    NR, s/NR, a[int(NR*0.5)], a[int(NR*0.95)], a[int(NR*0.99)], a[NR]
}'

   bash
awk '
{
  # 时间字段形如 [10/Oct/2026:14:23:01 +0800]
  hr = substr($4, 14, 2)
  for (i=1; i<=NF; i++) if ($i ~ /^rt=/) { v = substr($i, 4) + 0; break }
  if (v == "") next
  key = hr
  cnt[key]++
  sum[key] += v
  if (v > max[key]) max[key] = v
  if (v > 1.0) slow[key]++
}
END {
  printf "%-4s %-10s %-10s %-10s %-10s\n", "hour", "count", "avg", "max", "over1s%"
  for (h = 0; h <= 23; h++) {
    k = sprintf("%02d", h)
    if (cnt[k] == 0) continue
    printf "%-4s %-10d %-10.3f %-10.3f %-10.2f\n", k, cnt[k], sum[k]/cnt[k], max[k], slow[k]*100/cnt[k]
  }
}' "$LOG"

   bash
# 按 URI 聚合：请求数、慢请求数、慢请求占比、平均耗时，按慢请求数降序
awk '
{
  uri = ""; rt = 0
  for (i=1; i<=NF; i++) {
    if      ($i ~ /^uri=/) { uri = substr($i, 5) }
    else if ($i ~ /^rt=/)  { rt  = substr($i, 4) + 0 }
  }
  if (uri == "") next
  # $uri 本身不带 query，这里再兜一层，兼容从请求行取 path 的写法
  sub(/\?.*/, "", uri)
  # 数字 ID 归一化，避免每个资源 ID 变成一个桶
  gsub(/\/[0-9]+(\/|$)/, "/:id\\1", uri)
  cnt[uri]++
  sum[uri] += rt
  if (rt > 1.0) slow[uri]++
}
END {
  for (u in cnt) {
    if (cnt[u] < 10) continue    # 过滤长尾，太少样本说明不了问题
    printf "%-55s %8d %8d %7.2f%% %8.3f\n", u, cnt[u], slow[u], slow[u]*100/cnt[u], sum[u]/cnt[u]
  }
}' "$LOG" | sort -k3,3nr | head -30

   awk
gsub(/\/[0-9a-f]{8}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{4}-[0-9a-f]{12}/, "/:uuid", uri)

   bash
# 找出 rt 大、urt 小、且响应体也不大的请求，看它们集中在哪些 URI
awk '
{
  # 每行必须重置，否则上一行的值会污染这一行
  rt = 0; urt = ""; us = ""; bs = 0; lrs = ""; uri = ""
  for (i=1; i<=NF; i++) {
    if      ($i ~ /^rt=/)  rt  = substr($i, 4) + 0
    else if ($i ~ /^urt=/) urt = substr($i, 5)
    else if ($i ~ /^us=/)  us  = substr($i, 4)
    else if ($i ~ /^bs=/)  bs  = substr($i, 4) + 0
    else if ($i ~ /^uri=/) uri = substr($i, 5)
    else if ($i ~ /^lrs=/) lrs = substr($i, 5)
  }
  if (lrs == "") lrs = "(none)"
  if (rt > 2.0 && urt != "-" && urt + 0 < 0.2) {
    printf "rt=%.3f urt=%-6s us=%-4s bs=%-8d lrs=%-10s uri=%s\n", rt, urt, us, bs, lrs, uri
  }
}' "$LOG" | head -50

   bash
# 按上游实例聚合：请求数、平均 urt、慢请求数、5xx 数
awk '
{
  upa = ""; us = ""; urt = ""
  for (i=1; i<=NF; i++) {
    if      ($i ~ /^upa=/) upa = substr($i, 5)
    else if ($i ~ /^us=/)  us  = substr($i, 4)
    else if ($i ~ /^urt=/) urt = substr($i, 5)
  }
  if (upa == "" || upa == "-") next
  # 重试时形如 "10.0.1.5:8080, 10.0.1.6:8080"，先统一成无空格逗号
  gsub(/, /, ",", upa); gsub(/, /, ",", us); gsub(/, /, ",", urt)
  n = split(upa, parts, ",")
  addr = parts[n]              # 最后一个：最终把响应交出去的实例
  cnt[addr]++
  if (urt != "" && urt != "-") {
    m = split(urt, u, ",")
    v = u[m] + 0
    sum[addr] += v
    if (v > 1.0) slow[addr]++
  }
  if (us != "" && us != "-") {
    m2 = split(us, s2, ",")
    if (s2[m2] ~ /^5/) err5[addr]++
  }
}
END {
  printf "%-24s %10s %10s %10s %8s\n", "upstream", "count", "avg_urt", "over1s", "5xx"
  for (a in cnt) {
    avg = (cnt[a] > 0) ? sum[a] / cnt[a] : 0
    printf "%-24s %10d %10.3f %10d %8d\n", a, cnt[a], avg, slow[a], err5[a]
  }
}' "$LOG" | (read -r header; echo "$header"; sort -k2,2nr)

   nginx
# 入口：生成或复用上游传入的 ID
map$http_x_request_id$req_id {
    default$http_x_request_id;
    ""      $request_id;
}

# 把 rid=$req_id 拼进完整 log_format，不要照抄省略号
# log_format edge '...其他字段... rid=$req_id';

server {
    location / {
        proxy_set_header X-Request-ID $req_id;
        proxy_pass http://app_upstream;
    }
}

   bash
# 用 rid 在 Nginx 和上游日志里同时搜
RID="6f1a2b3c4d5e6f70"
grep -h "id=$RID\|rid=$RID\|$RID" /var/log/nginx/access.log /var/log/app/app.log

   bash
LOG=/var/log/nginx/access.log

   bash
# 总请求数
wc -l < "$LOG"

# 状态码分布（含占比）
awk '{ for(i=1;i<=NF;i++) if($i ~ /^st=/) { s=substr($i,4); break } c[s]++ ; n++ }
     END { for (k in c) printf "%s %d %.2f%%\n", k, c[k], c[k]*100/n }' "$LOG" | sort -k2,2nr

# 2xx/3xx/4xx/5xx 分桶
awk '{ for(i=1;i<=NF;i++) if($i ~ /^st=/) { s=substr($i,4); break }
       b = substr(s,1,1) "xx"; c[b]++ ; n++ }
     END { for (k in c) printf "%s %d %.2f%%\n", k, c[k], c[k]*100/n }' "$LOG" | sort

# 方法分布
awk '{ for(i=1;i<=NF;i++) if($i ~ /^m=/) { m=substr($i,3); break } c[m]++ }
     END { for (k in c) printf "%-8s %d\n", k, c[k] }' "$LOG" | sort -k2,2nr

   bash
# Top 20 客户端 IP
awk '{ ip=""
       for(i=1;i<=NF;i++) if($i ~ /^ip=/) { ip=substr($i,4); break }
       if (ip == "") next
       c[ip]++
     }
     END { for (k in c) printf "%-18s %d\n", k, c[k] }' "$LOG" | sort -k2,2nr | head -20

   bash
# Top 20 URI（$uri 本身不含 query）
awk '{ uri=""
       for(i=1;i<=NF;i++) if($i ~ /^uri=/) { uri=substr($i,5); break }
       if (uri == "") next
       c[uri]++
     }
     END { for (k in c) printf "%-60s %d\n", k, c[k] }' "$LOG" | sort -k2,2nr | head -20

   bash
# Top 20 User-Agent
grep -o 'ua="[^"]*"' "$LOG" | sort | uniq -c | sort -nr | head -20

# Top 20 Referer
grep -o 'ref="[^"]*"' "$LOG" | sort | uniq -c | sort -nr | head -20

   bash
# 空 UA 的请求总量
grep -cE 'ua="(-)?"' "$LOG"

# 空 UA 的来源 IP Top
grep -E 'ua="(-)?"' "$LOG" \
  | awk '{ for(i=1;i<=NF;i++) if($i ~ /^ip=/) { print substr($i,4); break } }' \
  | sort | uniq -c | sort -nr | head -20

# 各类脚本型 UA 的请求量
grep -oE 'ua="(curl|python-requests|Go-http-client|okhttp|Java|libwww-perl)[^"]*"' "$LOG" \
  | sort | uniq -c | sort -nr | head -20

   bash
# 响应体 Top 50（阈值 10MB），含状态码、客户端 IP、URI
awk '{ bs=0; st=""; uri=""; ip=""
       for(i=1;i<=NF;i++) {
         if      ($i ~ /^bs=/)  bs  = substr($i,4)+0
         else if ($i ~ /^st=/)  st  = substr($i,4)
         else if ($i ~ /^uri=/) uri = substr($i,5)
         else if ($i ~ /^ip=/)  ip  = substr($i,4)
       }
       if (bs > 10485760) printf "%12d %-4s %-16s %s\n", bs, st, ip, uri
     }' "$LOG" | sort -nr | head -50

   bash
# 排除静态资源后缀后再排行
awk '{ bs=0; uri=""
       for(i=1;i<=NF;i++) {
         if ($i ~ /^bs=/)  bs  = substr($i,4)+0
         if ($i ~ /^uri=/) uri = substr($i,5)
       }
       if (uri ~ /\.(png|jpe?g|gif|webp|mp4|zip|gz|deb|rpm|apk|ipa|woff2?)$/) next
       if (bs > 1048576) printf "%12d %s\n", bs, uri
     }' "$LOG" | sort -nr | head -50

   bash
# 总下行字节（GB）
grep -o 'bs=[0-9]*' "$LOG" | cut -d= -f2 | awk '{ s+=$1 } END { printf "%.2f GB\n", s/1024/1024/1024 }'

   bash
# 单 IP 请求数 Top
awk '{ ip=""
       for(i=1;i<=NF;i++) if($i ~ /^ip=/) { ip=substr($i,4); break }
       if (ip == "") next
       c[ip]++
     }
     END { for (k in c) printf "%-18s %d\n", k, c[k] }' "$LOG" | sort -k2,2nr | head -20

   bash
awk '{ ip=""; st=""
       for(i=1;i<=NF;i++) {
         if      ($i ~ /^ip=/) ip=substr($i,4)
         else if ($i ~ /^st=/) st=substr($i,4)
       }
       if (ip == "") next
       n[ip]++
       if (st ~ /^4/)   e4[ip]++
       if (st == "404") e404[ip]++
     }
     END {
       for (k in n) {
         if (n[k] < 100) continue                  # 样本太小的不看
         if (e4[k] * 100 / n[k] < 50) continue      # 只看 4xx 占多数的
         printf "%8.1f%% 4xx=%-8d 404=%-8d total=%-8d %s\n", \
                e4[k]*100/n[k], e4[k], e404[k], n[k], k
       }
     }' "$LOG" | sort -nr | head -20

   bash
# 探测类路径 Top（命中说明有人在扫）
grep -Ei '/(\.env|\.git|wp-login|phpmyadmin|admin\.php|actuator|\.aws|config\.json|\.ssh)' "$LOG" \
  | awk '{ uri=""
           for(i=1;i<=NF;i++) if($i ~ /^uri=/) { uri=substr($i,5); break }
           if (uri != "") c[uri]++
         }
         END { for (k in c) printf "%-50s %d\n", k, c[k] }' \
  | sort -k2,2nr | head -30

   bash
# 按分钟统计 404 数量，找突增的分钟
grep 'st=404' "$LOG" | awk '{ print substr($4, 14, 5) }' | sort | uniq -c | sort -nr | head -20

   bash
# 每 IP 在 10 秒窗口内的请求数峰值（简化版：固定 10s 分桶）
awk '{ ip=""; t=0
       for (i=1;i<=NF;i++) {
         if ($i ~ /^ip=/) ip=substr($i,4)
         if ($i ~ /^ms=/) t=substr($i,4)+0
       }
       if (t == 0 || ip == "") next
       win = int(t/10)
       c[ip "|" win]++
     }
     END { for (k in c) { split(k, p, "|"); print p[1], c[k] } }' "$LOG" \
  | sort -k2,2nr | head -20

   bash
# 每小时请求数
awk '{ print substr($4, 14, 2) }' "$LOG" | sort | uniq -c

   bash
awk '{
  hr = substr($4, 14, 2)
  ip = ""
  for (i=1; i<=NF; i++) if ($i ~ /^ip=/) { ip = substr($i, 4); break }
  if (ip == "") next
  cnt[hr]++
  if (!((hr SUBSEP ip) in seen)) { seen[hr SUBSEP ip] = 1; uip[hr]++ }
}
END {
  for (h = 0; h <= 23; h++) {
    k = sprintf("%02d", h)
    if (cnt[k] == 0) continue
    printf "%s  req=%-9d uniqIP=%-7d req/IP=%.1f\n", k, cnt[k], uip[k], cnt[k]/uip[k]
  }
}' "$LOG"

   bash
awk '{ ip=""; ua=""; uri=""
       for (i=1;i<=NF;i++) {
         if      ($i ~ /^ip=/)  ip  = substr($i,4)
         else if ($i ~ /^ua=/)  ua  = substr($i,4)
         else if ($i ~ /^uri=/) uri = substr($i,5)
       }
       # 去掉 ua=" 的前缀引号，剩下 - 或具体 UA
       ua = gensub(/^"/, "", 1, ua)
       if (ua == "-" || ua == "") {
         if (uri ~ /^\/api\//) c[ip]++
       }
     }
     END { for (k in c) printf "%-18s %d\n", k, c[k] }' "$LOG" | sort -k2,2nr | head -30

   bash
grep 'rid=6f1a2b3c4d5e6f70' "$LOG"

   bash
# 用户说 14:23 左右访问 /api/order 失败
grep '14:23:' "$LOG" | grep '/api/order' | grep -E 'st=5|st=499'

   bash
# 每个上游实例的成功率与超时数（504 通常代表 upstream timed out）
awk '{ ua=""; us=""
       for (i=1;i<=NF;i++) {
         if ($i ~ /^ua=/) ua=substr($i,4)
         if ($i ~ /^us=/) us=substr($i,4)
       }
       if (ua == "-" || ua == "") next
       n = split(ua, p, ", "); addr = p[n]
       cnt[addr]++
       if (us ~ /^5/) e5[addr]++
       if (us == "504") to[addr]++
     }
     END { for (a in cnt) printf "%-22s total=%-8d 5xx=%-6d timeout=%-6d %.2f%%\n", a, cnt[a], e5[a], to[a], e5[a]*100/cnt[a] }' "$LOG"

   nginx
# http 块
limit_req_zone$binary_remote_addr zone=perip:20m rate=20r/s;
limit_req_zone$server_name        zone=perserver:10m rate=2000r/s;
limit_conn_zone$binary_remote_addr zone=connperip:10m;

# 在已有的 log_format 里补两个字段，不要整段替换
# lrs=$limit_req_status lcs=$limit_conn_status

server {
    location /api/ {
        limit_req  zone=perip burst=40 nodelay;
        limit_req  zone=perserver burst=500;
        limit_conn connperip 50;

        limit_req_status429;    # 默认 503，改成 429 语义更准确
        limit_conn_status429;

        proxy_pass http://app_upstream;
    }
}

   bash
# 限流命中量与状态分布
awk '{ lrs=""; st=""
       for (i=1;i<=NF;i++) {
         if ($i ~ /^lrs=/) lrs=substr($i,5)
         if ($i ~ /^st=/)  st=substr($i,4)
       }
       k = lrs "|" st
       c[k]++
     }
     END { for (k in c) printf "%-22s %d\n", k, c[k] }' /var/log/nginx/access.log | sort -k2,2nr

   nginx
# /etc/nginx/conf.d/blocklist.conf
# 格式：每行一个 IP 或 CIDR，后面跟 1
geo $blocked_ip {
    default 0;
    include /etc/nginx/blocklist/ips.conf;
}

# /etc/nginx/blocklist/ips.conf
# 203.0.113.45 1;
# 198.51.100.0/24 1;

   nginx
server {
    listen443 ssl;
    http2on;
    server_name www.example.com;

    # 命中黑名单的请求在进入 location 之前就被拒绝
    if ($blocked_ip) {
        return403;
    }

    location / {
        proxy_pass http://app_upstream;
    }
}

   nginx
map $blocked_ip $deny_status {
    0 "";
    1 403;
}

server {
    if ($deny_status) { return $deny_status; }
}

   bash
#!/usr/bin/env bash
set -euo pipefail

BLOCK_FILE=/etc/nginx/blocklist/ips.conf
BACKUP_DIR=/var/backups/nginx-blocklist
TS=$(date +%Y%m%d-%H%M%S)
IP="${1:-}"

if [[ -z "$IP" ]]; then
echo"usage: $0 <ip-or-cidr>" >&2
exit 1
fi

# 粗校验：只放行 IP/CIDR 合法字符，防止把注释、命令、空行写进名单
# 严格校验（如 999.1.1.1 这种）交给 ipcalc / sipcalc，脚本里不做
if ! [[ "$IP" =~ ^[0-9a-fA-F:.]+(/[0-9]{1,3})?$ ]]; then
echo"invalid ip/cidr: $IP" >&2
exit 1
fi

# 内网与回环保护：这些地址封了会直接打挂监控、健康检查或内网调用
case"$IP"in
  10.*|127.*|192.168.*|172.1[6-9].*|172.2[0-9].*|172.3[01].*)
    echo"refuse to block private/loopback: $IP" >&2
    exit 2
    ;;
esac

mkdir -p "$BACKUP_DIR"
cp -a "$BLOCK_FILE""$BACKUP_DIR/ips.conf.$TS"

# 幂等：已存在就不重复加
if grep -qxF "$IP 1;""$BLOCK_FILE"; then
echo"already blocked: $IP"
exit 0
fi

echo"$IP 1;" >> "$BLOCK_FILE"

# 先测语法，失败就回滚
if ! nginx -t 2>/dev/null; then
echo"nginx -t failed, rolling back" >&2
cp -a "$BACKUP_DIR/ips.conf.$TS""$BLOCK_FILE"
exit 1
fi

nginx -s reload
echo"$(date -Is) blocked $IP by $(whoami)" | tee -a /var/log/nginx/blocklist-audit.log

   nginx
geo $blocked_ip {
    default 0;
    # 内部与监控，永远放行
    10.0.0.0/8     0;
    172.16.0.0/12  0;
    192.168.0.0/16 0;
    include /etc/nginx/blocklist/allow.conf;
    include /etc/nginx/blocklist/ips.conf;
}

   ini
# /etc/fail2ban/jail.d/nginx-scan.local
[nginx-scan]
enabled  = true
port     = http,https
filter   = nginx-scan
logpath  = /var/log/nginx/access.log
maxretry = 30
findtime = 60
bantime  = 3600
# 用 ipset 而不是 iptables 逐条规则，避免规则膨胀
banaction = nftables-multiport

   ini
# /etc/fail2ban/filter.d/nginx-scan.conf
[Definition]
# <HOST> 是 fail2ban 的占位符；正则要和你 log_format 的字段前缀一致
failregex = ^ip=<HOST> .*"(GET|POST|HEAD) [^"]*/(\.env|\.git|wp-login\.php|phpmyadmin|admin\.php|actuator)[^"]*" st=(404|403) 
ignoreregex =

   bash
sudo fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-scan.conf --print-all-matched | head -40

   bash
# /etc/logrotate.d/nginx
/var/log/nginx/*.log {
    daily
    rotate 14
    missingok
    notifempty
    compress
    delaycompress
    sharedscripts
    postrotate
        if [ -f /run/nginx.pid ]; then
            kill -USR1 "$(cat /run/nginx.pid)" 2>/dev/null || true
        fi
    endscript
}

   bash
# 强制跑一次（不影响生产，但会真的轮转）
sudo logrotate -d /etc/logrotate.d/nginx    # -d 是 dry-run，只看不执行
sudo logrotate -f /etc/logrotate.d/nginx    # 强制执行

ls -l /var/log/nginx/
# 检查 Nginx 是否已打开新文件（inode 应该变了）
sudo ls -l /proc/$(cat /run/nginx.pid)/fd | grep access.log
sudo lsof -p "$(cat /run/nginx.pid)" | grep -c 'access.log.*deleted'

   ini
# /etc/fluent-bit/parsers.conf
# 正则必须与 log_format 的字段顺序、分隔符完全对应，改格式就要同步改这里
[PARSER]
    Name        nginx_edge
    Format      regex
    Regex       ^(?<remote_addr>\S+) \[(?<time_local>[^\]]+)\] "(?<request>[^"]*)" st=(?<status>\d{3}) bs=(?<body_bytes_sent>\d+) rt=(?<request_time>[0-9.]+) urt=(?<upstream_time>[0-9.,\- ]*) ua=(?<upstream_addr>[^ ]*) rid=(?<request_id>\S*)
    Time_Key    time_local
    Time_Format %d/%b/%Y:%H:%M:%S %z

   ini
# /etc/fluent-bit/fluent-bit.conf
[SERVICE]
    Flush         5
    Log_Level     info
    Parsers_File  /etc/fluent-bit/parsers.conf

[INPUT]
    Name              tail
    Path              /var/log/nginx/access.log
    Parser            nginx_edge
    Tag               nginx.access
    Read_from_Head    false
    Mem_Buf_Limit     64MB
    Skip_Long_Lines   On
    Refresh_Interval  10

[FILTER]
    Name    lua
    Match   nginx.access
    script  /etc/fluent-bit/scripts/status_class.lua
    call    add_class

[OUTPUT]
    Name            loki
    Match           nginx.access
    Host            loki.internal
    Port            3100
    Labels          job=nginx,host=${HOSTNAME}
    Label_Keys      $status_class
    Line_Format     json

   lua
-- /etc/fluent-bit/scripts/status_class.lua
function add_class(tag, timestamp, record)
    local st = record["status"]
    if st ~= nil then
        local code = tonumber(st)
        if code ~= nil then
            record["status_class"] = string.format("%dxx", math.floor(code / 100))
        end
    end
    return 1, timestamp, record
end

   nginx
# stub_status 只允许本机访问
server {
    listen 127.0.0.1:8080;
    location /stub_status {
        stub_status;
        allow 127.0.0.1;
        deny all;
        access_log off;
    }
}

   bash
# 1. 配置语法（必须看输出，不能只看退出码）
sudo nginx -t

# 2. 日志格式已生效：新请求里应能看到全部 key= 前缀
curl -s -o /dev/null -w '%{http_code}\n' http://127.0.0.1/healthz
tail -n 1 /var/log/nginx/access.log
tail -n 1 /var/log/nginx/access.log | grep -oE '(^| )(ip|st|bs|m|uri|rt|urt|uct|uht|upa|us|rl|rid|lrs)=' | sort -u

# 3. 慢请求确实被统计到（构造一个慢请求，看 rt 是否如实记录）
curl -s -o /dev/null -w '%{time_total}\n' https://example.com/slow-endpoint
tail -n 1 /var/log/nginx/access.log | grep -o 'rt=[0-9.]*'

# 4. 限流规则生效：连续打到超限，统计返回码分布
for i in $(seq 1 200); do
  curl -s -o /dev/null -w '%{http_code}\n' http://127.0.0.1/api/healthz
done | sort | uniq -c
# 预期：200 与 429 混合出现；全是 200 说明限流没触发
grep 'lrs=REJECTED' /var/log/nginx/access.log | tail -n 5

# 5. 日志轮转正常
sudo logrotate -d /etc/logrotate.d/nginx
lsof -p "$(cat /run/nginx.pid)" | grep -c 'access.log.*deleted'   # 应为 0

# 6. 采集链路通（Loki/ES 里能查到刚才那条）
# 查询最近 1 分钟该 host 的日志条数，与 wc -l 大致对得上

   bash
TS=$(date +%Y%m%d-%H%M%S)
sudocp -a /etc/nginx/nginx.conf /etc/nginx/nginx.conf.bak.$TS
sudocp -a /etc/nginx/conf.d /etc/nginx/conf.d.bak.$TS

# 此时手工编辑配置并保存
sudo vim /etc/nginx/conf.d/app.conf

# 语法检查（必做，且必须看输出不只看退出码）
sudo nginx -t || { echo"abort"; exit 1; }

# reload（不是 restart）
sudo nginx -s reload

# 验证
sudo nginx -T 2>/dev/null | grep -A3 'limit_req_zone'
curl -s -o /dev/null -w '%{http_code}\n' http://127.0.0.1/healthz