CodeIgniter需手动组合Session、Input与post_controller钩子实现完整用户行为审计：用$this->session->userdata('user_id')标识身份，$this->input->ip_address()获取真实IP，$this->input->server('HTTP_REFERER')辅助分析路径，且必须建专用数据库表存储结构化日志。
CodeIgniter 默认不记录用户活动，必须手动组合 Session、Input 和钩子（Hooks）才能拿到「谁、在什么时间、从哪来、干了什么」这四个关键维度——只改 $config['log_threshold'] 或调用 log_message() 是无效的。
怎么用 Session + Input 拿到真实用户上下文
单纯记录「访问了 /admin/delete」没意义，必须绑定身份和来源。但 Session 和 Input 的取值时机、可靠性有明显差异：
-
$this->session->userdata('user_id')是最可信的身份标识，但前提是登录逻辑已正确写入 session（比如用了$this->session->set_userdata(['user_id' => 123])） -
$this->input->ip_address()比$_SERVER['REMOTE_ADDR']更可靠，能穿透常见代理；但若前端用了 Cloudflare，需额外配置$config['proxy_ips'] -
$this->input->server('HTTP_REFERER')可能为空或被伪造，仅适合辅助分析跳转路径，不能用于安全判断 - 别用
$this->input->user_agent()做权限控制——它完全由客户端发送，可任意篡改
为什么 post_controller 钩子是唯一靠谱的埋点时机
想在控制器执行完后统一捕获行为，post_controller 是唯一满足全部条件的钩子点：
-
post_system太早：Session 类可能还没加载，$this->session会报错 -
post_controller_constructor太早：控制器方法还没执行，拿不到实际业务动作（比如是否真删了数据） -
post_controller刚好：路由、session、input、db 全部就绪，$this->router->class和$this->router->method已确定，$this->db->queries仍可读（注意事务未提交时为空） - 注册钩子前必须确认
$config['enable_hooks'] = TRUE已在application/config/config.php中开启
log_message() 为什么不能当审计日志用
它输出的是无结构纯文本，查一条「删除订单」操作要靠 grep 硬扫，根本没法关联用户、筛选时间范围或做聚合统计：
- 日志内容像这样：
user_login|id:456|ip:192.168.1.100，但字段没分隔符、没时间戳前缀、没固定顺序，解析成本高 - 默认按天切文件，几个月后单个
log-2026-05-01.php超过 100MB，grep一次要等 5 秒以上 - 没存
HTTP_METHOD（GET/POST）、没存完整uri_string()，安全复盘时缺关键上下文 - 生产环境若设
$config['log_threshold'] = 1，log_message('info', ...)根本不写入——你白写了
真正可查、可关联的审计表该怎么建
别往 application/logs/ 里硬塞，必须建专用数据库表，字段设计直接决定后期能不能查得动：
-
admin_id：INT，允许 NULL（比如登录失败场景），必须加索引 -
uri：VARCHAR(255)，存$this->uri->uri_string()，不是$_SERVER['REQUEST_URI']（后者带 query string，冗余且难过滤） -
http_method：ENUM('GET','POST','PUT','DELETE')，方便统计高危操作比例 -
ip_address：VARCHAR(45)，兼容 IPv6，别用 INT 存 IPv4 -
created_at：DATETIME，默认CURRENT_TIMESTAMP，别依赖 PHPdate()，避免时区错乱
复杂点在于事务一致性：如果审计日志写库失败，主业务是否该回滚？多数场景下不应阻塞主流程，建议用异步队列或至少加 try/catch + fallback 到文件日志，否则一个数据库抖动会让整个后台不可用。
