rsyslog 用 imfile 监控应用日志需满足四条件：加载 $ModLoad imfile 模块、明确 $InputFileName 路径、配置唯一可写的 $InputFileStateFile、启用 $InputRunFileMonitor；缺一不可。
用 rsyslog 的 imfile 模块监控非系统日志（比如应用自己写的 /opt/app/logs/app.log），关键不是“能不能”，而是配置必须满足四个硬性条件：模块加载、文件路径明确、状态文件存在且可写、监控指令启用。缺一不可，否则日志根本不会被读取。
确保 imfile 模块已启用并加载
rsyslog 不默认开启文件监控能力，必须显式加载 imfile 模块。编辑 /etc/rsyslog.conf 或更推荐的 /etc/rsyslog.d/10-imfile.conf，加入这一行：
- $ModLoad imfile —— 必须放在所有 imfile 配置之前，且只能出现一次
注意：CentOS 6 默认带的是 rsyslog 5.8，模块名是 imfile；较新版本（如 8.x）也支持，但语法更灵活。不要写成 imfile.so 或漏掉 $ 符号。
定义要监控的具体日志文件
每份日志需单独一组配置块。以监控 /opt/myapp/logs/error.log 为例，在同一配置文件中追加：
- $InputFileName /opt/myapp/logs/error.log
- $InputFileTag myapp-error: —— tag 后面的冒号不能省，它会出现在日志开头，用于后续过滤
- $InputFileStateFile /var/lib/rsyslog/myapp-error.state —— 状态文件必须唯一且路径可写，rsyslog 用它记录已读到哪一行，重启不丢进度
- $InputFileSeverity error —— 可设为 debug/info/warning/error 等，影响日志级别字段
- $InputFileFacility local3 —— 必须用 local0–local7 之一，这是区分应用日志和系统日志的核心标识
- $InputFilePollInterval 5 —— 每 5 秒检查文件是否有新增内容（太小增加 I/O，太大延迟高）
- $InputRunFileMonitor —— 这行必须有，否则前面所有配置都不生效
转发到远程或本地目标时注意格式兼容
采集到的日志会带上你设的 facility 和 tag，转发前要确认目标能识别。常见做法：
- 发远程服务器：*.* @@192.168.10.100:514（TCP）或 *.* @192.168.10.100:514（UDP）
- 只转特定应用：local3.* @@192.168.10.100:514，这样服务端就能按 facility 分流
- 如果本地也要存一份，加一行：local3.* /var/log/myapp-remote.log
注意：使用 @@ 表示 TCP，比 UDP 更可靠；若服务端没开 TCP 接收，这行会静默失败。
验证与排错要点
配置完别急着重启，先做三件事：
- 运行 rsyslogd -N1 检查语法错误（返回 0 表示 OK）
- 确认状态文件目录存在且 rsyslog 用户（通常是
syslog或root）有写权限：mkdir -p /var/lib/rsyslog && chown syslog:adm /var/lib/rsyslog - 重启后查看 /var/log/messages 是否有 imfile 相关提示，例如 "imfile: monitoring file '/opt/myapp/logs/error.log'"
如果日志没过来，优先检查状态文件是否被创建、$InputRunFileMonitor 是否遗漏、facility 是否和服务端过滤规则匹配。
