正向代理审计日志需用 $request 提取完整请求行（如 GET http://example.com/ HTTP/1.1），配合 $remote_addr、$time_local、$status、$body_bytes_sent、$request_time、$http_user_agent 和 $http_referer 构建结构化日志格式，确保准确记录用户真实IP、访问时间、完整URL、响应状态、传输字节数、耗时及客户端信息。
要在 Nginx 中用正向代理记录详细的访问日志、审计用户上网行为，关键不是简单启用 access_log，而是让日志能准确反映“谁（真实 IP）、什么时候、访问了哪个 URL（含协议和域名）、状态如何、耗时多少”。尤其要注意：正向代理本身不解析 Host 头里的完整 URL，原始请求是 GET http://example.com/path HTTP/1.1 这类格式，Nginx 默认的 $host、$request_uri 无法直接还原，必须靠自定义变量 + 正确解析请求行来提取。
提取真实客户端 IP 和原始请求信息
正向代理中，客户端直连 Nginx，所以 $remote_addr 就是真实用户 IP（无需 real_ip 模块）。但请求内容藏在原始请求行里，需用 $request 变量捕获整行，再借助 log_format 中的变量组合还原关键字段：
- 使用 $request 获取原始请求（如
GET http://baidu.com/ HTTP/1.1），这是审计依据 - 搭配 $time_local 记录本地时间，便于关联分析
- 添加 $status 和 $body_bytes_sent 判断是否成功返回内容
- 加上 $request_time 看单次请求耗时，辅助识别异常长连接或扫描行为
定义审计专用日志格式
在 nginx.conf 的 http 块中添加如下 log_format，专为正向代理审计设计：
log_format forward_audit '$remote_addr - [$time_local] "$request" ' '$status $body_bytes_sent $request_time ' '"$http_user_agent" "$http_referer"';说明：
- $request 是核心——它保留了完整请求方法、目标 URL 和协议版本，可直接看出用户访问的是 http:// 还是 https:// 域名
- 不依赖 $host 或 $uri，因为正向代理场景下这些变量可能为空或不准确
- 保留 User-Agent 和 Referer，便于识别终端类型（如手机 App、curl 脚本）及来源页面
在 server 块中启用审计日志
确保你的正向代理 server 配置（监听 8080 或其他端口）中启用了该格式：
server {listen 8080;
resolver 8.8.8.8;
access_log /var/log/nginx/forward_audit.log forward_audit;
error_log /var/log/nginx/forward_error.log warn;
location / {
proxy_pass $scheme://$host$request_uri;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}
}
注意：
- 日志路径必须有写权限（如 chown www-data:www-data /var/log/nginx/forward_audit.log）
- 建议加 buffer 和 flush 提升性能：
access_log /var/log/nginx/forward_audit.log forward_audit buffer=32k flush=1s; - 若需按天切分，用 logrotate 配置，避免单文件过大
补充审计增强项（可选但推荐）
基础日志已能满足大部分上网行为记录需求，如需进一步强化审计能力，可考虑：
- 添加 $http_x_forwarded_for（如果前端还有网关层，且透传了该头）
- 用 map 指令提取协议和域名，例如：
map $request $proto {~^GET\s+https://$1;}
map $request $domain {~^GET\s+https?://([^/\s]+) $1;}
然后在 log_format 中引用 $proto 和 $domain，让日志更结构化 - 配合 fail2ban 监控高频 403/404 请求，识别恶意探测
