服务器日志怎么看：中小企业异常排查与告警的 6 个配置

为什么要自己看日志？

因为日志是发生故障或安全事件时，能还原完整过程的一手记录，而面板告警通常只给结果不给过程。

• 访问日志：记录了谁在什么时间请求了哪个地址。
• 错误日志：记录了 PHP、数据库、Web 服务的报错详情。
• 认证日志：记录了 SSH、FTP、面板的登录成功与失败。

据我们项目经验，能在 1 小时内定位原因的故障，多数依赖的是完整日志，而不是事后猜测。

日志要保留多久？

建议访问日志保留 30 天以上，错误日志与安全相关日志保留 180 天以上。

1. 访问日志：占用空间较大，按天切割并压缩归档。
2. 错误日志：保留时间要更长，便于回溯间歇性问题。
3. 认证日志：涉及安全追溯，建议单独存放并限制访问权限。
4. 轮转策略：用 logrotate 按天或按大小切割，避免写满磁盘。

具体留存期限还应结合所在行业的合规要求，以监管部门的官方最新要求为准。

哪些日志特征需要优先关注？

出现异常不一定是攻击，但这几类特征值得优先排查。

• 5xx 突增：某个接口短时间内大量 500，常与数据库连接或代码异常有关。
• 异常 404：大量请求不存在的 PHP 路径，常是扫描器在探测。
• 可疑 POST：向非表单地址提交数据，需要核对来源与内容。
• 境外 IP 集中访问：短时间内来自同一网段的高频请求。
• 深夜登录：非工作时段出现的管理员或 FTP 登录成功记录。

判断要结合业务时段，活动推广期间的流量上升属于正常现象。

怎么用命令快速定位？

几个常用命令能覆盖多数排查场景，不必先上复杂的日志平台。

1. 统计状态码：awk '{print $9}' access.log | sort | uniq -c | sort -rn
2. 找出高频 IP：awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
3. 跟踪实时错误：tail -f error.log
4. 限定时间窗：grep "04/Sep/2026:1[0-2]" access.log

告警怎么配才有用？

告警的价值在于"能触发行动"，所以阈值与通知通道要一起设计。

• 可用性：站点连续 3 分钟不可访问时发出通知。
• 错误率：5xx 占比在短时间内异常上升时发出通知。
• 资源：磁盘使用率、内存使用率超过设定阈值时发出通知。
• 通道：同时配置站内消息与邮件，避免单一通道失效。

告警之外还要做什么？

日志是事后证据，日常还需要主动的检查动作。

1. 每周抽看一次错误日志，清理反复出现的报错。
2. 每月核对一次账号清单，删除不再使用的账号。
3. 每季度演练一次恢复流程，验证备份是否真的可用。

玉晗网络（安徽安庆）提供服务器运维托管服务，日志分析、告警配置与定期巡检都会形成书面记录，安庆本地的中小企业在遇到突发情况时，能较快拿到完整的排查依据。