服务器日志不是给运维看的装饰。谁在试你的后台密码，日志里写得清清楚楚。不看，等于把警报器关了。有秦皇岛做海鲜批发的老板问我，网站最近老卡是不是被攻击了。我的答案是一翻日志就看见了。有个 IP 一分钟请求了两千次，加一条规则就挡住了。

日志里重点看三件事

这三件事每周花十分钟看一遍，很多问题能提前发现，不用等到客户打电话来投诉。北戴河做民宿生意的老板问过，暑期访问量大算不算异常。我说看来源。正常客人不会一分钟点两百次。

• 访问量突然变大的 IP 和路径
• 登录失败次数异常的时间段
• 响应时间最长的接口和页面

爬虫和攻击怎么分

爬虫有规律。节奏均匀。请求的路径集中。攻击不一样。专挑登录页和接口试。开发区做电子制造的企业，官网后台被撞库过，就是日志里先发现的。山海关做食品加工的老板问过，日志会不会占满硬盘。我说会，要做轮转和压缩，保留周期按需要定。

日志要留多久

建议至少留 90 天。出问题时往回翻，没日志就没证据。日志占的空间不大，比事后靠猜强得多。秦皇岛信服无限做运维托管，每月会给客户一份日志摘要。写成人话：这个月谁在扫你，哪个页面最慢。我们做运维这行 17 年，最怕客户说日志早就删了。删得干净，问题也就查不清了。抚宁做物流的企业问过，几台服务器要不要分开看。我说先看总入口那一台，异常多半从那里冒出来。

日志怎么存才好查

日志按天分文件，命名带上日期，找起来快。集中收集比散落在各台机器上强。机器一多，挨个登录去看，一天就过去了。开发区电子制造的企业问过，几台机器日志要不要汇总。我说要，出问题时按时间线一拉，异常就浮出来了。日常怎么用日志。每周固定看一次，比出事才翻强。把异常记在本子上，月底回头对一遍。同一类问题反复出现，就该从根上改，而不是每次临时挡。

常见问题

日志里要重点看什么？

时间、来源 IP、请求路径、状态码、响应时间，这五个字段够用。

发现被攻击了要怎么办？

先封 IP，再查漏洞，改后台密码，必要时临时下线排查，别硬撑。

日志会不会占满硬盘？

会。要做轮转和压缩，保留周期按合规要求定，别攒成一座山。

山海关做食品加工的老板问过，日志谁来管。我说指定一个人，写进值班表，别指望大家顺手都看一眼。你要在秦皇岛，让技术把上周日志导出来看一眼。看十分钟，比开一天会管用。发现问题早处理，成本最低。