logwatch主配置文件优先读取/etc/logwatch/conf/logwatch.conf，需手动创建并复制默认配置；修改MailTo、Detail、Service等参数；通过cron调用/usr/sbin/logwatch命令实现每日邮件报告，依赖本地MTA服务。
logwatch 默认配置在哪、怎么改
logwatch 的主配置文件是 /usr/share/logwatch/default.conf/logwatch.conf，但直接改它不生效——因为运行时优先读取 /etc/logwatch/conf/logwatch.conf。如果这个路径不存在，就用默认的；存在则以它为准。
实操建议：
- 先检查
/etc/logwatch/conf/是否有logwatch.conf，没有就手动建目录并复制一份：sudo mkdir -p /etc/logwatch/conf<br>sudo cp /usr/share/logwatch/default.conf/logwatch.conf /etc/logwatch/conf/
- 修改
MailTo =项填自己的邮箱，否则日志报告发不出去（常见静默失败原因） -
Detail = Med是安全起点，设成High会导致邮件体积暴增，尤其在有大量 SSH 失败记录的服务器上 - 别碰
Service = all，除非真需要每种服务都扫一遍；建议显式列出：Service = sshd httpd cron
怎么让 logwatch 每天自动发邮件报告
logwatch 本身不带调度能力，得靠 cron 驱动。系统通常自带一个 cron 脚本 /etc/cron.daily/00logwatch，但它的行为取决于发行版和安装方式——有些 distro 不启用，有些会跳过没配邮箱的情况。
实操建议：
- 先确认脚本是否存在且可执行：
ls -l /etc/cron.daily/00logwatch - 如果不存在或权限不对，手动加一个 cron 条目：
sudo crontab -e<br># 加这行（每天凌晨 4:15 执行）<br>15 4 * * * /usr/sbin/logwatch --output mail --mailto admin@example.com --detail Med
- 注意：使用
--output mail时，本地必须跑着能发信的 MTA（如sendmail或postfix），否则报错Can't exec "sendmail" - 测试命令是否通：运行
sudo /usr/sbin/logwatch --output stdout --detail Low，看终端有没有输出，避免盲目等邮件
logwatch 报告里看不到 Nginx 或自定义应用日志
logwatch 默认只认标准服务名（sshd、crond 等），Nginx 日志路径不在白名单里，更不会自动解析你的 /var/log/myapp/access.log。
实操建议：
- 给 Nginx 加 service 支持：在
/usr/share/logwatch/scripts/services/下新建nginx脚本（内容需匹配 logwatch 解析规范），或更简单——用--service指定日志路径：logwatch --service "nginx:/var/log/nginx/access.log" --service "nginx:/var/log/nginx/error.log"
- 自定义日志：用
--logfile直接喂路径，但必须配合--service指定解析逻辑，否则当成纯文本塞进报告末尾 - 路径必须绝对且可读：
sudo -u logwatch cat /var/log/myapp/app.log要能成功，否则 logwatch 进程（常以logwatch用户运行）会跳过 - 别指望它自动识别 JSON 或结构化日志；遇到
{"level":"error",...}这类，logwatch 只当普通字符串处理
为什么 logwatch 输出空报告或只有一行“Date: …”
最常见原因是日志文件为空、权限不足、时间范围没对上，或者 logwatch 把你当天的日志判定为“还没滚动”，于是去查昨天的归档——而那个归档可能已被 logrotate 清掉或压缩了。
实操建议：
- 加
--range Today强制查当天，避免它自己猜时间范围（默认是Yesterday） - 用
--debug 5看它到底读了哪些文件：logwatch --debug 5 --range Today 2>&1 | grep "Reading log file"
- 检查日志文件 mtime 和内容：空文件、只有 header、或第一行时间戳早于系统当前日期减一天，都可能导致被跳过
- 如果用了
logrotate，确认没配dateext+compress却没告诉 logwatch 解压——它默认不读.gz文件
logwatch 的“智能”其实很脆弱，依赖日志格式稳定、路径明确、时间连续。一旦应用写日志不守规矩（比如不打时间戳、乱切分），就得退回到手工 grep + awk 组合拳——它不是 ELK，也替代不了 journalctl。
