不能直接用log_format做实时审计，因其仅支持文件或syslog输出，无法实现内存聚合、毫秒级响应判定和动态规则匹配；真正实时审计需在access_phase用C模块介入，完成字段提取、条件判断与计数更新。
为什么不能直接用 log_format 做实时审计
因为 log_format 只能写入文件或 syslog，无法做内存聚合、毫秒级响应判定、动态规则匹配。你看到的“实时”日志其实是磁盘 I/O 延迟后的快照，真正审计需要在请求生命周期内完成字段提取、条件判断、计数更新——这必须在 Nginx 的请求处理阶段（如 access_phase 或 log_phase）用 C 模块介入。
常见错误是试图用 Lua 模块（如 nginx-lua）做高频统计：单核下超过 5k QPS 就容易因 LuaJIT GC 暂停导致延迟抖动；更严重的是，shared_dict 的 CAS 操作在多 worker 下需加锁，实际吞吐反而不如纯 C 的无锁环形缓冲 + 原子计数器。
- 审计逻辑必须放在
access_phase，否则无法拦截恶意请求（如 SQL 注入 payload 已经进到 upstream） - 所有时间戳必须用
ngx_current_msec，不用gettimeofday()——后者系统调用开销高，且在容器中可能受时钟漂移影响 - 禁止在模块中 malloc/free 频繁内存：每个请求分配堆内存会触发 glibc 内存池竞争，改用预分配 slab（如
ngx_palloc从 request pool 分配）
ngx_http_traffic_audit_module 的三个核心数据结构
这不是一个“统计插件”，而是一个带状态机的审计引擎。关键不在记录，而在快速判定是否越界：
-
ngx_http_traffic_rule_t：存储正则规则（如location ~* \.(php|jsp)$）、HTTP 方法白名单、响应码范围。编译期用 PCRE2 预编译，运行时只做pcre2_match()调用 -
ngx_http_traffic_slot_t：每个 worker 独立的 slot，含原子计数器（ngx_atomic_t类型）、最近 60 秒的滑动窗口数组（uint32_t[60]）、当前秒偏移量（避免每次取模） -
ngx_http_traffic_shm_t：共享内存段，存放全局 TOP N 请求路径（用 LRU 链表 + 哈希桶实现，key 是r->uri.data的 MurmurHash3），worker 通过ngx_shmtx_lock争抢写权限
示例：当配置 audit_rate 100r/s;，模块会在 access_phase 检查该 client IP 的 slot 计数器是否超限，超限则直接返回 NGX_HTTP_FORBIDDEN，不进 upstream。
如何安全暴露统计结果而不拖慢主流程
所有 HTTP 接口（如 /audit/status）必须走 content_phase，且禁止阻塞式读共享内存。正确做法是：
- 用
ngx_http_upstream_t伪造一个空 upstream，把共享内存 dump 封装成“上游响应”，由 Nginx 自动处理 sendfile 和 TCP 窗口控制 - 对
/audit/top10这类聚合查询，使用只读锁（ngx_shmtx_trylock）+ 退避重试（最多 3 次，每次usleep(50)），失败则返回 503 - JSON 输出必须用
ngx_sprintf手写序列化，禁用 cJSON 等第三方库——它们的 realloc 会破坏 Nginx 内存池布局
错误示范：location /audit { add_header X-Stats $upstream_http_x_stats; } —— 这会让每个请求都触发一次共享内存扫描，QPS 直接掉 40%。
上线前必须验证的三个边界场景
模块在测试环境跑通不等于生产可用。这三个点最容易出问题：
- worker 进程热重载时，旧 worker 的
ngx_http_traffic_slot_t必须等所有请求结束才销毁，否则出现计数器归零或 double-free。检查点：重载后用kill -USR2触发，观察nginx -s reload后 30 秒内Shared memory used是否稳定 - 当客户端用 HTTP/2 发起大量并发流（如 100 stream），每个 stream 共享同一个 connection，但模块必须为每个 stream 单独计费（因 audit_rule 可能基于
:pathheader）。验证方式：用h2load -n 10000 -c 100 https://host/api测压，确认计数器增量 = stream 数而非 connection 数 - 容器环境下
/dev/shm默认只有 64MB，而审计共享内存建议至少 256MB（存 100 万 URI 哈希 + 滑动窗口）。必须在启动脚本里显式挂载：docker run --shm-size=256m ...
最常被忽略的是信号处理：模块必须注册 ngx_signal_handler 捕获 NGX_SHUTDOWN_SIGNAL，在进程退出前将 slot 数据 flush 到共享内存，否则重载瞬间丢失最后一秒统计。
