Linux 系统中的日志格式并不是单一的，而是取决于具体的日志服务软件（如 syslog、journald、auditd 等）以及应用程序本身的配置。
以下是 Linux 中最常见的几种日志格式详解：
Syslog 格式 (传统格式)
这是最经典、最通用的日志格式，广泛用于 /var/log/syslog、/var/log/messages 等文件，由 rsyslog 或 syslog-ng 生成。
标准格式结构：
<时间戳> <主机名> <进程名>[<PID>]: <消息内容>
示例：
Oct 24 10:15:30 myserver sshd[12345]: Accepted publickey for user1 from 192.168.1.100 port 52413 ssh2
字段解析：
- 时间戳 (
Oct 24 10:15:30)：月份、日期、时间（通常不包含年份，除非配置了syslogd的year选项）。 - 主机名 (
myserver)：生成日志的机器名称。 - 进程名 (
sshd)：产生日志的服务或进程名称。 - PID (
[12345])：进程 ID,用于追踪特定进程实例。 - (
Accepted publickey...)：具体的日志信息。
常见日志级别 (Severity)：
Syslog 使用数字和关键词表示严重性：
0(Emergency) – 系统不可用1(Alert) – 需要立即修复2(Critical) – 关键情况3(Error) – 错误4(Warning) – 警告5(Notice) – 正常但重要6(Informational) – 信息7(Debug) – 调试信息
Systemd Journal 格式 (journald)
现代 Linux 发行版（如 CentOS 7+, Ubuntu 16.04+, Debian 8+）默认使用 systemd-journald 服务，其日志存储在二进制文件中，可通过 journalctl 命令查看。
特点：
- 结构化数据：每个日志条目包含多个键值对（Key-Value Pairs）。
- 丰富元数据：包含进程名、PID、用户 ID、系统调用 ID、执行文件路径等。
- 二进制存储：默认不以纯文本形式存储在
/var/log/下，而是存储在/var/log/journal/中。
示例 (使用 journalctl -o verbose 查看原始格式)：
-- Logs begin at Mon 2026-10-24 10:15:30 CST, end at Mon 2026-10-24 10:16:00 CST. --
Oct 24 10:15:30 myserver sshd[12345]: Accepted publickey for user1 from 192.168.1.100 port 52413 ssh2
PRIORITY=6
_UID=0
_GID=0
_COMM=sshd
_EXE=/usr/sbin/sshd
_CMDLINE=/usr/sbin/sshd -D
_SYSTEMD_UNIT=sshd.service
_TRANSPORT=stdout
常用查看命令：
# 查看最近日志 journalctl -f # 查看特定服务日志 journalctl -u sshd # 查看错误级别日志 journalctl -p err # 按时间范围查看 journalctl --since "2026-10-24 10:00:00" --until "2026-10-24 11:00:00"
Apache/Nginx Web 服务器日志格式
Web 服务器通常使用自定义的日志格式，最常见的是 Combined Log Format。
Nginx 默认格式示例：
168.1.100 - user1 [24/Oct/2026:10:15:30 +0800] "GET /index.html HTTP/1.1" 200 612 "http://example.com" "Mozilla/5.0"
字段解析：
168.1.100：客户端 IP 地址。user1：远程用户（如果启用了认证）。[24/Oct/2026:10:15:30 +0800]：请求时间。"GET /index.html HTTP/1.1"：请求方法和 URI。200：HTTP 状态码。612：响应大小（字节）。"http://example.com"：Referer（来源页面）。"Mozilla/5.0"：User-Agent（浏览器信息）。
安全审计日志 (auditd)
用于记录系统安全相关事件，如文件访问、权限变更、登录尝试等。
示例：
type=SYSCALL msg=audit(1698123330.123:456): arch=c000003e syscall=2 success=yes exit=3 a0=7fff12345678 a1=0 a2=1b6 a3=0 items=2 ppid=1234 pid=5678 auid=1000 uid=0 gid=0 euid=0 comm="cat" exe="/usr/bin/cat" key="etc-passwd"
特点：
- 包含详细的系统调用信息。
- 包含进程上下文（用户、组、命令、可执行文件路径）。
- 通常由
ausearch或aureport工具解析查看。
应用程序自定义日志
许多应用程序（如 Java、Python、Node.js 应用）会生成自己的日志格式,常见形式包括：
JSON 格式（推荐用于日志聚合）：
{
"timestamp": "2026-10-24T10:15:30.123Z",
"level": "INFO",
"logger": "com.example.MyApp",
"message": "User login successful",
"userId": "user123",
"ip": "192.168.1.100"
}
简单文本格式：
2026-10-24 10:15:30 INFO [main] com.example.MyApp - User login successful
如何查看和解析日志？
| 目的 | 推荐命令/工具 |
|---|---|
| 查看系统日志 | journalctl (systemd), tail -f /var/log/syslog (syslog) |
| 搜索特定关键字 | grep "error" /var/log/syslog |
| 过滤日志级别 | journalctl -p err |
| 查看实时日志 | tail -f /var/log/messages 或 journalctl -f |
| 日志聚合与分析 | ELK Stack (Elasticsearch, Logstash, Kibana), Splunk, Graylog |
- 传统系统：使用 Syslog 格式，结构简单,易于文本处理。
- 现代系统：使用 Systemd Journal，结构化、功能强大，需通过
journalctl查看。 - Web 服务：使用 Combined Log Format,便于分析流量和用户行为。
- 安全审计：使用 auditd 格式,记录底层系统调用。
- 应用日志：越来越多采用 JSON 格式,便于机器解析和日志平台集成。
根据你的需求（调试、安全审计、流量分析）,选择合适的日志格式和工具至关重要。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/linux%e6%97%a5%e5%bf%97%e6%a0%bc%e5%bc%8f%e6%98%af%e4%bb%80%e4%b9%88%ef%bc%9flinux%e7%b3%bb%e7%bb%9f%e6%97%a5%e5%bf%97%e8%b7%af%e5%be%84%e5%8f%8a%e6%9f%a5%e7%9c%8b%e6%96%b9%e6%b3%95/
