可通过嵌入OpenTelemetry SDK（如opentelemetry-cpp或Lua插件）在Nginx中将WAF命中、IP封禁、JWT验证失败等安全事件作为Span记录，并继承上游traceparent实现端到端安全链路可视化；需借助nginx-lua-module或边车模式，聚焦拦截节点埋点，关联响应头X-Trace-ID与后端服务，对401/403/429等状态码全量采样，同时脱敏敏感信息。
可以通过在 Nginx 中嵌入 OpenTelemetry SDK（如使用 opentelemetry-cpp 或 Lua 插件方案），将安全拦截事件（如 WAF 规则命中、IP 封禁、JWT 验证失败）作为 Span 记录，并关联上游服务的 Trace，实现端到端安全请求路径可视化。
启用 Nginx 的可观测扩展能力
Nginx 官方不原生支持 OpenTelemetry，需借助外部模块或运行时注入：
- 使用 Nginx + Lua + opentelemetry-lua：通过
nginx-lua-module在access_by_lua_block或log_by_lua_block中生成 Span，标记拦截动作（如security.waf.matched_rule = "920100"） - 采用 Envoy 或 Nginx Plus + OpenTelemetry Collector 边车模式：将 Nginx 日志（JSON 格式）输出至 Fluent Bit / Filebeat，由 Collector 提取并 enrich 安全上下文（如 real_ip、X-Forwarded-For、规则 ID）后发送至后端（Jaeger / Tempo / Honeycomb）
- 若用 OpenResty，可集成
opentelemetry-lua库，在init_worker_by_lua_block初始化全局 Tracer，确保每个请求有唯一 trace_id
在关键拦截点注入 Span 语义
不是所有请求都需打点，聚焦安全决策节点：
-
WAF 规则触发时：在 ModSecurity 或 lua-resty-waf 的回调中创建 Span，设置
span.set_attribute("security.waf.action", "blocked")和"security.waf.rule_id" -
IP/ASN 封禁时：在
geo或map指令配合 Lua 判断后，用opentelemetry:span():set_attribute("security.ip_blocked_reason", "tor_exit_node") -
认证失败时：在 JWT 验证逻辑（如
lua-resty-jwt）捕获异常后，记录"security.auth.failed_reason" = "expired_token"并结束 Span - 所有 Span 应继承上游传入的
traceparent，保证与后端服务 Trace 关联；若无，则新建 Trace 并在响应头中透出traceparent
关联上下游形成完整安全链路
单点埋点价值有限，需打通边界：
- 在 Nginx 响应头中写入
X-Trace-ID和X-Span-ID，供后端服务读取并继续追踪（例如 Spring Boot 的spring-cloud-sleuth可自动解析） - 将 Nginx 的
$request_time、$upstream_response_time、$status映射为 Span 属性，便于分析拦截是否引入延迟或掩盖真实错误码 - 对被拦截请求（如 403/429），强制生成 Span 并标记
span.set_status(STATUS_ERROR)，避免因无响应体而丢失链路 - 利用 OpenTelemetry Collector 的
servicegraphconnector自动构建“Nginx → Auth Service → Policy Engine”等依赖拓扑，突出安全组件调用关系
实战建议与避坑点
落地时常见问题比技术选型更关键：
-
避免高开销操作：不要在每个请求都调用 OTLP HTTP 接口；改用本地 UDP 发送至 Collector（如
otlphttp改为otlp协议 + gRPC） -
敏感信息脱敏：Span 属性中禁止记录原始 token、密码、身份证号；可用哈希（如
sha256(client_ip)）或泛化标识（如"country=CN, asn=45090"）替代 - 采样策略要分层：对 200/304 请求默认采样率 0.1%，但对 401/403/429/503 等安全相关状态码设为 100% 全量采集
- 日志与 Trace 对齐：确保 Nginx error_log 中的 request_id 与 Span 的 trace_id 一致，方便在 Grafana 中联动跳转排查
