真正的“合并”是统一采集、集中存储、结构化查询：需在Nginx日志格式中注入节点标识（如$hostname）和带时区的$time_iso8601时间戳，用Filebeat/Fluent Bit实时采集并发送至Kafka/Elasticsearch/Loki，再通过DSL或LogQL跨节点查询分析。
在多节点 Nginx 集群中，日志分散在各节点上，无法直接合并分析。真正的“合并”不是物理拼接文件，而是统一采集、集中存储、结构化查询——核心在于日志收集链路的设计，而非切割方式本身。
日志切割本身不解决跨节点问题
无论你用 logrotate 按天切、脚本按小时切，还是 Nginx 动态命名（如 access.log.$time_iso8601），每个节点的日志仍是独立生成的。切割只是本地管理手段，不带节点标识、时间对齐或去重能力。强行用 cat node1/access.log.2026-08-19 node2/access.log.2026-08-19 > merged.log 会丢失来源、时区混乱、顺序错乱，分析结果不可信。
推荐做法：统一采集 + 时间戳归一 + 中心化查询
关键不是“怎么切”，而是“切完怎么送出去”。需在切割后引入标准化采集层：
-
为每条日志注入节点标识：在 Nginx
log_format中加入变量，例如$hostname或自定义变量$server_addr，确保每行日志自带来源信息：log_format with_node '$hostname $remote_addr - [$time_local] "$request" $status $body_bytes_sent'; -
使用时间戳而非文件名判断归属：避免依赖文件名（如
access.log.2026-08-19），改用日志内容中的$time_iso8601字段——它带时区（如2026-08-19T14:22:05+08:00），可精确对齐所有节点时间 -
用轻量采集器实时推送：在每台 Nginx 节点部署 Filebeat / Fluent Bit，监听切割后的日志文件（如
/var/log/nginx/access_*.log），自动添加字段node: "web-01"，并转发至 Kafka / Elasticsearch / Loki 等中心存储
分析阶段：用查询引擎代替文本合并
数据入中心后，不再需要手动合并文件，而是通过查询实现逻辑合并：
- 在 Elasticsearch 中写 DSL 查询：
{"query":{"range":{"@timestamp":{"gte":"2026-08-19T00:00:00","lt":"2026-08-20T00:00:00"}}}}
自动聚合所有节点该时段日志 - 在 Grafana + Loki 中用 LogQL：
{job="nginx"} |~ `GET /api/` | __error__=false | line_format "{{.host}} {{.log}}" | unwrap _entry
按 host 分组、过滤、格式化输出 - 导出做离线分析？用 Spark/Flink 读取对象存储（如 S3/MinIO）中的压缩日志包，按
@timestamp排序后处理，稳定且可扩展
如果必须临时合并原始文件（调试场景）
仅限小规模、短周期、非生产排查。务必遵守三步：
-
统一时区：所有节点
timedatectl set-timezone Asia/Shanghai，确认date输出一致 -
提取并排序时间戳：用 awk 提取每行
$time_iso8601字段，生成带时间戳前缀的临时行，再 sort：awk '{match($0, /([0-9]{4}-[0-9]{2}-[0-9]{2}T[0-9]{2}:[0-9]{2}:[0-9]{2}[+-][0-9]{4})/, a); if(a[1]) print a[1], $0}' node*/access_2026-08-19.log | sort | cut -d' ' -f2- -
保留来源字段：不要删掉
$hostname，后续可按grep "web-02"快速定位问题节点
