ThinkPHP用户行为日志需在中间件中安全捕获上下文：过滤敏感参数、多层校验真实IP、实时获取session用户ID；JSON日志须转义、加锁、绝对路径、单行格式；数据库字段应分拆设计并建索引；钩子须显式注册、正确触发、异步处理。
ThinkPHP 不自带用户行为日志，必须自己搭结构；直接在控制器里写 Log::write() 看似快，实际维护崩溃、审计失效、敏感字段裸奔。
中间件里怎么安全捕获请求上下文
关键不是“有没有记录”，而是“记录的内容是否可信且可查”。$request->param() 要过滤敏感键，$request->ip() 不能信默认值，session 用户 ID 必须实时取、不能缓存。
- 用
$request->except(['token', 'password', 'sign'])拿参数，别用input()或原样 dump$_POST - 真实 IP 需多层 fallback：
$request->header('X-Forwarded-For')→$request->header('X-Real-IP')→$request->ip()，每层都做 IPv4/IPv6 格式校验 - 登录态判断必须带 session 启动检查：
if ($request->session()->isStarted() && $request->session()->get('user_id'))，否则 CLI 或异常场景会静默写入空user_id - 未登录用户统一设为
'guest'或null，禁止 fallback 到 UA 或 IP 伪造标识
JSON 日志为什么不能直接 file_put_contents()
不加锁、不格式化、不转义的文件写入，在生产环境等于埋定时炸弹：并发时丢行、中文变乱码、grep 查不到、ELK 解析失败。
- 必须用
json_encode($logData, JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES)，否则日志里出现u540du79f0或双斜杠，后续分析全废 - 写入前加
flock($fp, LOCK_EX)，或改用error_log($line, 3, $path)（它底层是系统调用，更轻量） - 路径必须绝对：
/var/www/myapp/runtime/log/operation/+date('Y-m-d').'.log'，相对路径在 CLI 或队列中极易写错目录 - 每行一条 JSON，末尾加
" "，否则awk和jq工具无法按行解析
数据库存操作日志要避开哪些字段设计坑
把所有内容塞进一个 TEXT 字段，等于放弃日志价值。查“某管理员删过哪些用户”要全表扫描，加个索引都加不上。
立即学习“PHP免费学习笔记（深入）”；
-
user_id字段必须为INT UNSIGNED NULL（未登录留 NULL），别用VARCHAR存数字，关联查询会失效 -
action字段建议拆出module、controller、action三列，从$request->rule()->getModule()等方法取，别解析 URL 字符串 -
params推荐 MySQL 5.7+ 的JSON类型，方便后续查SELECT * FROM log WHERE params->'$.id' = 123 -
ip字段必须VARCHAR(45)，IPv6 地址最长 45 字符，用INET_ATON()会截断 - 高频查询字段如
user_id、created_at必须联合建索引，否则日志表撑不过一周
钩子（Hook）记录登录日志为何常失效
不是钩子不行，是注册和触发时机错了。挂太早没 session，挂太晚已响应，或者根本没在配置里声明，框架压根不认这个行为类。
- 钩子名必须显式注册：在
app/middleware.php或行为配置文件里加'login_success' => ['app\common\behavior\LoginLogBehavior'] - 触发点必须在 session 写入之后——比如
LoginController中Session::set('user_id', $uid)执行完，再调Hook::listen('login_success', [...]) - 行为类里禁止同步 IO 操作，
file_put_contents()或 DB 插入必须扔进队列，否则登录接口 P99 直接翻倍 - 钩子参数只传审计必需字段：
uid、username、ip、status，绝不能传$user全数组，里面可能含密码哈希或 token
真正难的不是写一行日志，而是在高并发、多入口（HTTP/API/CLI）、权限混杂的场景下，让每条日志都带对上下文、脱敏干净、落盘可靠、查得出来。中间件拦截位置、JSON 序列化细节、数据库字段类型，三个地方任一出错，日志就退化成“看起来有，其实没用”的装饰品。
