要记录异常状态码（4xx/5xx）的完整访问上下文，需自定义log_format注入真实IP、耗时、UA、Referer、结构化路径及状态归因字段，用map打标并按类型分流至独立日志文件，统一时间戳以便与error.log对齐，支持轻量级命令快速还原现场。
要记录异常状态码（如 4xx、5xx）的完整访问上下文，不能只靠默认日志格式。关键在于：让每条异常请求的日志包含足够多可关联、可回溯的字段，并按需分离存储，便于后续精准定位和分析。
一、在日志格式中显式注入上下文字段
默认 combined 格式只含基础信息，无法支撑深度分析。需自定义 log_format，强制写入以下五类上下文：
-
真实来源 IP：用
$realip_remote_addr替代$remote_addr，配合set_real_ip_from和real_ip_header X-Forwarded-For处理代理/CDN 场景 -
请求耗时特征：同时记录
$request_time（Nginx 总耗时）和$upstream_response_time（后端响应耗时），差值大说明卡在 Nginx 层或网络层 -
客户端行为线索：保留
$http_user_agent（识别扫描器）、$http_referer（判断来源合法性）、$http_x_forwarded_for（辅助比对伪造） -
请求路径结构化：对
/api/v1/users/123类路径，用map提取 ID；对登录、重置密码等操作，记录$arg_username或$arg_email（不记明文密码） -
状态码归因标识：用
map打标，例如：map "$status:$upstream_status" $is_upstream_fail { ~^50[2-4]:"-" 1; # 502/503/504 且 upstream_status 为空 → 连接失败 ~^50[2-4]:"500" 1; # 后端返回 500，但 Nginx 转成 502 default 0; }
示例格式（JSON 输出，利于解析）：
log_format ctx '{ "@timestamp": "$time_iso8601", "clientip": "$realip_remote_addr", "uri": "$uri", "args": "$args", "method": "$request_method", "status": $status, "upstream_status": "$upstream_status", "request_time": $request_time, "upstream_time": $upstream_response_time, "ua": "$http_user_agent", "referer": "$http_referer", "is_upstream_fail": $is_upstream_fail }';
access_log /var/log/nginx/ctx.log ctx if=$is_abnormal; # 仅记录异常请求✅ 注意：
if=$is_abnormal需提前用map定义，例如map ~^(4|5)[0-9]{2}$ $is_abnormal { "" 0; default 1; }
二、按异常类型分流记录，避免日志混杂
把不同风险等级的异常写入独立文件，提升分析效率：
-
单独记录所有 400–499 请求（客户端问题）：
map $status $is_client_error { ~^4[0-9]{2}$ 1; default 0; } access_log /var/log/nginx/4xx.log ctx if=$is_client_error; -
单独记录 5xx 及上游失败（服务端/链路问题）：
map "$status:$upstream_status" $is_server_error { ~^[5][0-9]{2}.* 1; ~^5[0-9]{2}:"-.*" 1; default 0; } access_log /var/log/nginx/5xx_upstream.log ctx if=$is_server_error; 文件权限设为
640，属主nginx:audit，防止未授权读取敏感参数字段
三、确保时间戳可与 error.log 对齐
$time_iso8601 是 ISO 格式（含时区），而 error.log 默认用本地时间。为方便交叉排查：
- 统一使用
log_format中的$time_local（保持与 error.log 一致），或 - 在
error.log中启用时间戳格式化（Nginx 1.19+）：error_log /var/log/nginx/error.log warn; # 并确保 nginx.conf 中有： env TZ=Asia/Shanghai;
- 查找某次 502 的上下文时，先从
5xx_upstream.log提取时间（如02/Oct/2026:13:22:15 +0800），再用：sed -n '/02\/Oct\/2026:13:22:[14-16]/p' /var/log/nginx/error.log
四、轻量级上下文提取命令（无需 ELK）
日常巡检用几条命令即可还原典型异常现场：
-
查看某 IP 最近 10 条 404 请求的完整上下文：
awk '$9==404 && $1=="192.168.1.100" {print}' /var/log/nginx/ctx.log | tail -10 -
找出导致 504 的慢请求（
request_time > 15s且upstream_status="-"）：awk '$9==504 && $13 > 15 && $12=="-" {print $0}' /var/log/nginx/5xx_upstream.log -
统计哪些 URI 导致最多 400 错误（常含恶意参数）：
awk '$9==400 {print $7 "?" $8}' /var/log/nginx/4xx.log | sort | uniq -c | sort -nr | head -10
不复杂但容易忽略
