Nginx高可用场景日志输出不全的根本原因是多实例协同与生命周期管理失控，需从写入、轮转、采集三环节同步加固：统一路径权限、启用flush缓冲；logrotate强制dateext与sharedscripts；sidecar只读监听+TLS加密+at-least-once语义。
日志输出不全在 Nginx 高可用场景（如 Keepalived 主备、双主或集群部署）中很常见，根本原因不是配置漏写，而是多实例协同与生命周期管理失控。必须从“写入—轮转—采集”三个关键环节同步加固，单点优化无效。
写入阶段：防丢、防乱、防覆盖
主备切换时，若日志路径、权限或缓冲策略不一致，极易导致新进程无法写入、旧日志被截断或缓冲区数据丢失。
- 所有节点统一日志路径，例如 /var/log/nginx-ha/access.log，禁止使用相对路径或依赖 $prefix 的 logs/ 子目录
- 目录权限设为 700，日志文件权限 600，属主固定为 nginx:adm（需与 worker 进程用户完全一致）
- 启用带 flush 的缓冲：access_log /var/log/nginx-ha/access.log main buffer=64k flush=5s;，避免异常退出时内存缓冲未落盘
- 禁用 HUP 重载触发日志 reopen；轮转必须由外部工具（如 logrotate）发送 USR1 信号精准控制
轮转阶段：防冲突、保权限、可追溯
主备节点若各自执行 logrotate，同一秒内可能生成相同时间戳文件，引发覆盖或权限错位。
- 强制启用 dateext 和高精度 dateformat -%Y%m%d-%H%M%S，规避毫秒级并发切割冲突
- logrotate 配置中必须包含 create 0600 nginx adm，不依赖系统 umask
- 使用 sharedscripts + postrotate 脚本，并在脚本内校验 nginx.pid 是否存在，再发 USR1，防止误切空进程
- 设置 rotate 2 并开启 delaycompress，确保未压缩的上一轮日志仍可直接读取审计
采集阶段：剥离逻辑、只读监听、加密投递
依赖 Nginx 自身日志文件状态做采集，一旦 VIP 切换或进程重启，sidecar 可能漏采或重复采集。
- 每台服务器独立部署 Filebeat 或 Fluentd 作为 sidecar，以 只读模式 监听 /var/log/nginx-ha/*.log，禁止修改原始文件
- Filebeat 启用 spool_size 和 harvester_buffer_size 应对大日志，同时限制 bulk_max_size 防止 ES 写入积压
- 传输链路全程 TLS 加密，后端 Logstash 或 ES 必须启用 HTTPS；跨网段通信走内网隧道或 VPC 对等连接，禁用明文 HTTP/syslog
- 采集端开启 at-least-once 语义（如 Filebeat 的 registry 持久化），确保不丢条目
不复杂但容易忽略
