Linux下C++程序写系统日志最标准方式是调用syslog()系列函数，需先openlog()初始化、再syslog()发送、最后closelog()收尾，优先级参数应为LOG_USER | LOG_INFO等宏组合。
Linux下用syslog()写日志最直接
在Linux系统上，C++程序想把消息写进系统日志（通常是/var/log/messages或/var/log/syslog），最标准的方式就是调用C标准库的syslog()系列函数。它背后对接的是rsyslog或systemd-journald，无需自己开文件、加锁、轮转——系统已经帮你做了。
关键步骤只有三步：openlog()初始化，syslog()发消息，closelog()收尾。不调openlog()也能用，但会缺失标识（ident）和默认选项，查日志时很难定位来源。
常见错误是传错priority参数：比如把LOG_INFO写成"INFO"字符串，或者漏掉LOG_USER这类facility前缀。正确写法是LOG_USER | LOG_INFO。
#include <syslog.h>
int main() {
openlog("myapp", LOG_PID | LOG_CONS, LOG_USER);
syslog(LOG_INFO, "Config loaded, version %s", "2.1.0");
syslog(LOG_ERR, "Failed to bind port %d", 8080);
closelog();
return 0;
}
systemd环境要留意journald接管了syslog()
在使用systemd的发行版（Ubuntu 16.04+、CentOS 7+、Fedora等）中，syslog()调用默认不再写入磁盘日志文件，而是转发给journald。这意味着你用journalctl -t myapp能查到日志，但tail -f /var/log/syslog可能看不到——除非rsyslog服务在运行且配置了ForwardToSyslog=yes。
立即学习“C++免费学习笔记（深入）”；
如果你依赖传统文本日志路径，有两个选择：
- 确保
rsyslog服务启用，并在/etc/rsyslog.conf里取消注释$ModLoad imuxsock和$SystemMaxFileSize相关行 - 绕过
syslog()，直接用sd_journal_print()（需链接-lsystemd），它更贴近journald原生接口，支持结构化字段（如SYSLOG_IDENTIFIER=myapp）
注意sd_journal_print()在非systemd系统（如某些容器或Alpine）里会编译失败或静默丢弃日志，兼容性不如syslog()。
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
Windows没有syslog()，得用ReportEvent()
Windows平台没有POSIX syslog()，对应机制是Windows Event Log。C++程序要写入，必须调用Win32 API ReportEvent()，并提前用RegisterEventSource()注册一个事件源（event source）。
难点不在代码本身，而在权限和注册流程：普通用户进程无法直接向Application日志写入，除非以管理员身份运行，或提前用wevtutil im导入manifest文件声明事件ID和消息格式。否则你会看到错误码ERROR_ACCESS_DENIED或日志里只出现“事件未找到定义”。
简化方案是只写入自定义日志（比如MyAppLog），避免和系统日志权限冲突：
HANDLE h = RegisterEventSource(NULL, TEXT("MyAppLog"));
if (h) {
LPCSTR msg = "Service started successfully.";
ReportEvent(h, EVENTLOG_INFORMATION_TYPE, 0, 1, NULL, 1, 0, &msg, NULL);
DeregisterEventSource(h);
}
跨平台封装要注意openlog()的ident长度和特殊字符
如果项目需要同时支持Linux和Windows，自行封装一个log_to_system()时，最容易被忽略的是ident参数限制：openlog()的ident会被截断为最多MAXSYSLOGNAME（通常10字节），且不能含空格或斜杠；而Windows事件源名虽无硬长度限制，但含空格会导致wevtutil解析失败。
建议统一规则：
- 用小写字母+下划线命名，例如
my_app_backend，而非My App Backend - 避免在
ident里塞进程PID——openlog()的LOG_PID标志已自动处理 - 日志消息体中不要拼接敏感路径（如
/home/user/.ssh/id_rsa），systemd-journald默认会红action这类字段，但传统rsyslog不会
真正麻烦的从来不是“怎么写进去”，而是“写进去之后谁能看懂、按什么条件查、会不会被删”。facility选择、tag命名规范、结构化字段（如CODE_FILE、ERRNO）这些细节，往往比函数调用本身影响更大。
