优化Nginx日志性能的核心是避免直接写磁盘：一用命名管道+rsyslog异步处理，二按需关闭非关键路径日志（如健康检查、静态资源），三关闭log_not_found及低价值404，四为安全路径单独启用高价值字段日志格式。
直接把 access_log 写到磁盘是性能瓶颈之一，尤其在高并发、小请求场景下。真正有效的优化不是“少记点”，而是“不写磁盘”或“只记关键路径”。核心思路就两条：用内存管道替代文件 I/O，以及按需关闭非安全 location 的日志。
用命名管道（pipe）把日志喂给 rsyslog
避免 Nginx 直接 write() 到磁盘文件，改走 Unix domain socket 或内存管道，由 rsyslog 统一收口并异步落盘或转发。
- 在 nginx.conf 里配置：
access_log pipe:/var/run/nginx-logs.pipe main; - 创建管道并设好权限：
mkfifo /var/run/nginx-logs.pipe && chown nginx:adm /var/run/nginx-logs.pipe - rsyslog 启用 imfile 模块读取该管道，后续可加 TLS 加密转发、按 severity 分流、或对接 ELK/Filebeat
- 好处是：Nginx 写入变成快速 write() 系统调用，几乎无阻塞；日志缓冲、压缩、加密、重试全交给更专业的 rsyslog 处理
用 if 条件精准控制哪些 location 记日志
不是所有路径都需要 access_log。比如健康检查、静态资源探针、内部监控接口，记了也白记，还拖慢 worker 进程。
- 先定义一个布尔变量：
map $request_uri $loggable { ~^/healthz 0; ~^/metrics 0; ~^/static/ 0; default 1; } - 在 location 块中使用：
access_log /var/log/nginx/app.log if=$loggable; - 对明确不需审计的内部路由（如
location /internal/），直接写access_log off; - 特别注意：不要在 root location 用 if 控制，而应在具体子路径 location 中关闭，避免误杀
关掉 log_not_found 和低价值状态码记录
大量 404（尤其是 favicon.ico、robots.txt、旧 API 路径）会显著增加 I/O 和磁盘空间消耗，且对安全分析无实质价值。
- 全局关闭：
log_not_found off;（放在 http 块） - 若需保留部分 404（如业务级缺失资源），可用 map 区分：
map $status $log_404 { "404" 0; default 1; }，再配合if=$log_404 - 对 CDN 回源、LB 健康探测等固定 UA，也可用 map 过滤：
map $http_user_agent $log_ua { "~*ELB-HealthChecker|curl.*k8s-probe" 0; default 1; }
为安全相关 location 单独启用高价值字段
真正的安全审计不靠“全量日志”，而靠“关键路径+关键字段”。比如登录、鉴权、敏感数据访问接口，应记录更细粒度信息，其他路径则精简。
- 定义专用日志格式：
log_format secure '$remote_addr $http_x_forwarded_for [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" $request_time $upstream_response_time $upstream_status'; - 仅在
location /api/v1/auth/或location /admin/中启用：access_log /var/log/nginx/secure.log secure; - 这类 location 可额外开启
buffer=64k flush=1s，平衡延迟与吞吐
