$body_bytes_sent是Nginx日志中记录响应体字节数的核心字段，用于真实下行流量统计；需在log_format中显式包含，并结合$host等字段标识站点，再通过GoAccess、Telegraf+VTS或Filebeat+Logstash实现实时聚合与Grafana可视化监控。
$body_bytes_sent 是 Nginx 日志中记录每个请求实际发送给客户端的响应体字节数（不含响应头），是统计站点真实下行流量的核心指标。要基于它实时统计并监控各站点的流量分布，关键在于：日志采集 → 流量聚合 → 实时可视化 → 异常识别。以下分步说明实用做法。
一、确保日志格式中正确记录 $body_bytes_sent 和站点标识
必须在 log_format 中显式包含 $body_bytes_sent，同时用可靠字段区分站点（推荐 $host 或 $server_name，避免仅依赖 $http_host）：
log_format flow_log '$host $remote_addr [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent"';
并在 server 块中启用该格式：
access_log /var/log/nginx/site1_access.log flow_log;
若多站点共用一个 access_log，需确保 $host 能准确反映请求归属（开启 underscores_in_headers on; 避免某些自定义 header 解析异常）。
二、用实时流式工具按站点聚合流量（秒级/分钟级）
不依赖离线批处理，推荐轻量实时方案：
-
GoAccess + 自定义解析：启动时指定字段位置和过滤逻辑，支持按
$host分组统计“累计字节数”，开启 WebSocket 可实现实时刷新仪表板； -
Telegraf + nginx VTS 模块（更推荐）：编译安装 nginx-module-vts，它原生提供按 server、upstream、location 维度的
bytesOut实时计数器，通过 HTTP 接口（如/status/format/json）暴露，Telegraf 的httpinput 插件可每 5 秒抓取一次，写入 InfluxDB； -
Filebeat + Logstash pipeline：Filebeat 监控 access.log，Logstash 用
grok提取$host和$body_bytes_sent，再用metrics过滤器按host每 60 秒聚合 sum(bytes)，输出到 Elasticsearch 或 Prometheus（需配合prometheus_exporteroutput）。
三、构建监控看板与阈值告警
数据入库后，重点不是“总流量”，而是“分布”和“变化”：
- 在 Grafana 中绘制「各 host 占比饼图」+「TOP5 host 流量趋势折线图（最近1小时）」；
- 计算每个站点 5 分钟平均流量（bytes/sec），对环比增长 >300% 且绝对值超 2MB/s 的站点触发告警（避免静态资源突发下载误报）；
- 叠加 CDN 回源日志（如有），对比
$body_bytes_sent与回源响应大小，快速识别缓存失效或未命中问题。
四、注意几个易错细节
-
$body_bytes_sent为 0 表示响应体为空（如 304、204、重定向），统计时建议排除或单独标记，避免拉低均值； - HTTPS 站点若启用了 TLS 1.3 0-RTT，部分早期 Nginx 版本可能漏记该请求的
$body_bytes_sent，建议升级至 1.21.6+； - 使用
gzip on时，$body_bytes_sent记录的是压缩后字节数，与客户端实际接收一致，无需额外解压还原； - 若站点通过反向代理（如 API 网关）接入，确保 Nginx 在 proxy_pass 后仍能获取原始
Host头，必要时用proxy_set_header Host $host;显式透传。
不复杂但容易忽略：真正的实时性取决于采集周期与聚合延迟的平衡，生产环境建议从 30 秒聚合起步，再根据磁盘 IO 和告警灵敏度微调。核心是让每个站点的流量贡献一目了然，而不是堆砌总量数字。
