Nginx无法直接按IP禁用日志，但可通过三种间接方式实现：一、map+access_log if条件分流；二、map映射至/dev/null丢弃日志；三、分离日志并定期清理。需注意作用域覆盖、reload生效及语法校验。
直接禁用特定 IP 或网段的日志记录，Nginx 本身不支持 access_log off 按客户端地址条件关闭——该指令只作用于 location 匹配路径，不能基于 $remote_addr 动态开关。但可通过间接方式实现等效效果：把目标 IP 的日志写入空设备或独立文件，再定期清空或忽略它。
方案一：用 map + access_log if 实现条件化日志分流
这是最推荐、最灵活的高级做法。核心是用 map 指令根据客户端 IP 定义一个布尔变量，再在 access_log 中用 if= 参数控制是否写入主日志。
- 在
http块顶部（必须在 server 之前）定义映射：
map $remote_addr $log_to_main {
default 1;
127.0.0.1 0;
192.168.1.0/24 0;
203.0.113.45 0;
}
- 在对应
server或location中启用条件日志：
access_log /var/log/nginx/access.log main if=$log_to_main;
- 说明：值为 0 时，该请求不会写入
access.log；值为 1 才记录。支持 CIDR 网段、单 IP、IPv6 地址（需用方括号，如[::1]） - 注意：
map不支持正则匹配 IP，但可覆盖绝大多数屏蔽场景；变量名不能含连字符，建议用下划线
方案二：将特定 IP 日志重定向到 /dev/null（Linux）或 null（Windows）
适用于想彻底丢弃某些 IP 请求日志、且不关心其原始格式的场景。本质是让 Nginx 把日志“写”到黑洞设备。
- 同样先定义
map判断是否属于目标 IP：
map $remote_addr $null_log {
default /var/log/nginx/access.log;
127.0.0.1 /dev/null;
10.0.0.0/8 /dev/null;
}
- 然后使用该变量作为日志路径：
access_log $null_log main;
- 优点：零磁盘 I/O 开销；缺点：无法审计被屏蔽 IP 的访问行为（因日志完全丢失），且需确保系统有读取
/dev/null权限 - Windows 用户请改用
null（如null main），并确认 Nginx 编译时启用了相关支持
方案三：分离日志 + 定期清理（兼顾审计与降噪）
当需要保留特定 IP 的访问痕迹用于内部排查（比如运维本地调用），又不想污染主日志时，可将其单独记录并自动化管理。
- 配置独立日志路径：
map $remote_addr $local_log {
default off;
127.0.0.1 /var/log/nginx/access_localhost.log;
192.168.50.0/24 /var/log/nginx/access_internal.log;
}
access_log $local_log main;
access_log /var/log/nginx/access.log main;
- 这样，匹配的 IP 会同时写入专用日志和主日志；若只想写专用日志，把主日志行删掉即可
- 配合 logrotate 或定时脚本（如
find /var/log/nginx -name "access_localhost.log" -mmin +60 -exec truncate -s 0 {} \;）自动清空，避免堆积
关键注意事项
access_log 不继承：即使你在 http 块设了主日志，只要某个 server 或 location 显式声明了 access_log，就会覆盖父级设置，不会叠加。务必检查作用域层级。
优先级高于 location：map 在请求解析早期执行，不受 location 匹配顺序影响，比在多个 location 中重复写 access_log off 更可靠。
测试必须 reload：修改 map 或 access_log 后，运行 nginx -t && nginx -s reload 生效；仅 reload 不校验语法，易遗漏错误。
验证方法简单有效：用 curl -H "Host: example.com" http://127.0.0.1/healthz 发起请求后，立刻执行 tail -n 1 /var/log/nginx/access.log，确认无新增行；再查对应 /dev/null 或分离日志是否存在该条记录。
