Nginx 实现受保护资源访问回溯分析需配置带认证上下文的自定义日志、统一 auth_request 认证、分级日志写入及构建时间线索引，再通过 ELK/Loki 实现用户维度行为追溯。
在 Nginx 中实现受保护资源的访问回溯分析，核心是记录足够细粒度的访问日志，并关联用户身份、认证状态与资源路径，再通过日志分析工具还原访问行为链路。这不是开箱即用的功能，需结合日志配置、认证模块和后端分析能力协同完成。
启用带认证上下文的自定义日志格式
Nginx 默认 access_log 不包含用户身份或认证结果，必须扩展 log_format 以捕获关键字段：
- 使用 $remote_user 记录 HTTP Basic 或 auth_request 模块验证后的用户名（需确保认证已生效）
- 添加 $sent_http_x_auth_status 或自定义响应头（如由 auth_request 后端注入）标识认证是否成功
- 保留 $request、$status、$http_referer、$http_user_agent 和 $request_time 用于行为建模
- 若使用 JWT 或 OAuth2，可通过 map 指令从 $http_authorization 或 $arg_token 提取 sub/aud 等字段，写入日志
示例配置片段：
map $http_authorization $jwt_sub {
~*Bearer\s+(?<token>[^$]+) "${token}";
default "";
}
log_format protected '$time_iso8601 | $remote_addr | $remote_user | $jwt_sub | $request | $status | $request_time | $http_referer';
统一接入认证逻辑并标记访问意图
避免分散在多个 location 中做 if 判断，应集中通过 auth_request 模块将鉴权委托给可信后端服务：
- 该后端返回 200 表示授权通过，并可设置响应头如 X-Auth-User-ID、X-Auth-Resource-Role
- Nginx 将这些头透传到日志（用 $sent_http_x_auth_user_id），形成“谁、以何种角色、访问了什么”的三元组
- 对静态资源（如 /files/.*）或 API 路径（如 /api/v1/docs）统一套用同一 auth_request 指令，确保日志结构一致
按资源敏感级别分日志文件写入
不是所有请求都需要回溯分析，应分级记录以降低存储与分析成本：
- 高敏资源（如 /admin/、/api/v1/users/me、/downloads/private）单独写入 audit.log，开启 full request body 记录（需配合 $request_body，且仅限 POST/PUT 请求）
- 中敏资源（如 /api/v1/settings、/uploads）写入 access_sensitive.log，含完整 URL 参数与响应状态
- 普通资源仍走默认 access.log，不额外增加开销
注意：开启 $request_body 需启用 client_body_buffer_size 和 client_max_body_size，并确认未启用 proxy_buffering 否则可能为空。
构建可回溯的时间线索引
原始日志只是时序流水，要支持“某用户何时下载过哪些文件”，需建立关联索引：
- 在日志中加入唯一请求 ID（如用 $request_id），便于串联重定向、代理转发等跨阶段行为
- 若资源访问依赖前置动作（如先调用 /api/v1/token 获取临时凭证，再凭此访问 /files/xxx?token=...），应在日志中解析并提取 token 关联字段，例如用正则提取 $args 中的 token 值
- 将 Nginx 日志实时推送至 Elasticsearch 或 Loki，用 Kibana/Grafana 构建用户维度仪表盘，支持按 user、resource_path、time_range、status 组合筛选
简单回溯查询示例（Loki LogQL）：
| json | __error__ = "" | user == "alice" | resource_path =~ "/files/.*" | status == 200 | range: 24h
