新手做PHP日志审计最先应确保“别记错、别漏关键、别被攻破”：覆盖登录全部结果（含failed）、脱敏敏感字段、 fallback 未登录用户IP、避免file_put_contents并发丢日志、日志路径置于Web根目录外并chattr +a锁定、每条JSON格式独立成行且含timestamp/action/user_id/target_id/status白名单字段。
新手做PHP日志审计，最先该关注的不是「怎么记全」，而是「别记错、别漏关键、别被攻破」——90%的审计失效，源于起步阶段就踩了这三类坑。
audit日志里为什么总查不到登录失败？
因为很多人只监听成功登录，却忘了在认证逻辑失败分支里打点。审计日志必须覆盖 user_login 的全部结果，尤其是 status 为 failed 的情况。
- 检查所有登录入口（表单提交、API接口、第三方回调），确保每条失败路径都调用审计记录函数
-
$_POST['password']这类字段绝不能直接进日志，先用filter_var($input, FILTER_SANITIZE_STRING)或至少htmlspecialchars()处理 - 未登录用户没有
user_id，必须 fallback 到$_SERVER['REMOTE_ADDR']或$_SERVER['HTTP_X_FORWARDED_FOR']（注意代理头可伪造，仅作参考）
file_put_contents 写 audit.log 怎么一并发就丢日志？
不是代码写错了，是 PHP 的 LOCK_EX 在高并发下会排队阻塞，请求卡在写日志环节，超时或直接跳过。
- 禁用
file_put_contents(..., FILE_APPEND | LOCK_EX)直接写审计日志 - 改用
Monolog+StreamHandler，并明确设置 channel 为'audit'，避免和 debug 日志混在一起 - 日志路径必须放在 Web 根目录外，比如
/var/log/myapp/audit.log；同时用chattr +a锁定文件仅追加，防篡改
为什么 grep 查不到 data_delete 操作？
要么没记，要么记了但格式混乱：日志行末缺换行符，多条挤成一行；或者用了非结构化文本，grep "data_delete" 匹配不到嵌套在 JSON 字段里的 action 值。
立即学习“PHP免费学习笔记（深入）”；
- 每条审计日志必须是独立完整行，结尾加
\n - 强制用 JSON 格式输出，包含固定字段：
timestamp、action、user_id（或ip）、target_id、status - 别把整个
$_POST或$pdo->errorInfo()塞进日志，只取白名单字段，例如只记'order_id' => $id，不记'card_number' => ***
真正难的不是写多少条日志，而是每一条都经得起回溯验证：能定位到具体人、具体时间、具体操作对象、具体成败结果。字段缺失、格式混乱、敏感泄露、写入丢失——这四点，任何一个出问题，审计就等于没做。
