mod_logio模块默认未启用，需通过命令检查并手动启用；%I和%O分别统计HTTP请求与响应的原始字节数，仅对完成请求生效，且受压缩、分块、代理头等影响，不等于Content-Length。
mod_logio 模块是否已启用？先确认再配置
Apache 默认不启用 mod_logio，直接写 %I 或 %O 日志格式会输出为破折号（-），不是数值缺失，而是模块根本没加载。用 httpd -M | grep logio（Linux）或 apache2ctl -M | grep logio（Debian/Ubuntu）检查输出里是否有 logio_module (shared)。没有就需启用：a2enmod logio（Debian系）或在 httpd.conf 中取消 #LoadModule logio_module modules/mod_logio.so 的注释。
如何在 LogFormat 中正确使用 %I 和 %O
%I 表示请求头+体接收的字节数（含 TCP 包头开销前的原始 HTTP 数据），%O 表示响应头+体发送的字节数（不含 TCP 重传、分段、ACK 等底层开销）。它们只对已完成的请求生效——如果连接被中断、超时或客户端提前断开，%I 可能为 0，%O 可能远小于预期。
- 必须配合
LogFormat自定义格式，不能直接塞进默认common格式里 - 推荐写法：
LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %I %O" bandwidth - 在
VirtualHost或服务器级CustomLog中引用：CustomLog logs/access_log bandwidth -
%I和%O是整数，单位字节，不带逗号或单位标识
为什么 %O 常比 Content-Length 大？和 gzip、chunked 有关
%O 统计的是实际调用 send() 写出的字节数，所以它包含所有传输层可见的内容：比如启用了 mod_deflate，响应体被压缩后发出，%O 就是压缩后的大小；如果后端是 FastCGI 或代理（如 mod_proxy），还可能包含额外的响应头（如 X-Forwarded-For、Server）、分块传输编码（chunked）的分隔符（"5a\r\n..."\r\n）等。而 %b 只取 Content-Length 响应头值，不反映真实发出量。
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 静态文件 +
mod_deflate启用时，%O≈ 压缩后体积，%b= 原始文件大小 - 动态 PHP 脚本若未显式设置
Content-Length，%b为-，但%O仍有值 - HTTP/2 连接下，
%O仍有效，但不再含传统 HTTP/1.1 的换行和空格开销
统计带宽时要注意连接复用和异步响应
一个 TCP 连接上多个 HTTP 请求共用同一个 socket，%I 和 %O 是按请求粒度统计的，这点没问题；但如果你用 mod_php 或 mod_wsgi 做长连接处理、或者用了 Event MPM 配合异步后端，%O 值可能滞后于日志时间戳——因为响应体可能在 LogFormat 执行时还未完全写出（例如流式响应、SSE）。这时看到的 %O 是截至日志写入时刻已发出的字节数，不是最终总量。
- 对实时带宽监控场景，别依赖单行日志做精确 per-request 流量结算
- 若需总带宽，建议用
rotatelogs切割日志后，用 awk 或 Python 按小时聚合%I和%O -
%I在客户端快速断连时可能极小（甚至 0），不代表没发数据，只是 Apache 没读完就丢连接了
真正难的是区分「协议开销」和「应用数据」——mod_logio 给的是 socket 层字节数，没法自动剔除 TLS 握手、ALPN、TCP option、重传包这些。如果要做精细化网络分析，得配合 tcpdump 或 eBPF 工具，而不是只靠 access_log。
