有人可以帮我解释服务器日志吗？答案

【问题标题】：Could someone help me with the server log interpretation?有人可以帮我解释服务器日志吗？
【发布时间】：2015-05-18 13:36:55
【问题描述】：

我知道标准服务器日志的样子。但是，有时我会收到让我有点困惑的日志（我正在分析统计数据）。

例如：

www-phalcon2 66.249.78.168 - [20/Feb/2015:23:59:59 +0100] 200 3251 4.69 0.001 192.168.64.125 3557 "GET /style/products.css?1414645533 HTTP/1.1" "-" "-" "Mozilla/5.0（兼容；Googlebot/2.1；+http://www.google.com/bot.html）"

第一个 IP 属于客户端。但是其他的呢？ “www.phalcon2”代表什么（通常）？还有，传输字节数后面的两个值是多少？

我确信解释此类日志很容易，但我在互联网上进行了研究并没有找到答案。感谢您的帮助！

【问题讨论】：

Web 服务器日志输出是高度可配置的，因此对于非标准日志格式的解释，理想情况下您应该也有可用的日志格式定义。

标签： logging server splunk

【解决方案1】：

这看起来像一个 W3C 兼容的日志，并且是相当标准的。 W3C 格式的有趣之处在于它们有一个标题，每行前面都有一个#。文件的顶部将如下所示：

#Version: 1.0
#Date: 12-Jan-1996 00:00:00
#Fields: time cs-method cs-uri

如果您可以在 splunk 中搜索以 # 开头的行（您可能必须一直搜索）且源类型与您的示例相同，那么您可能会找到定义。如果没有该定义，您将无法真正解析该日志。

另一种方法是假设它是 Apache 自定义日志格式（通常没有标题）。在这种情况下，您需要询问 LogFormat 或 CustomLog 配置 - 这将为您提供一个称为格式字符串的字符串 - 基本上，一系列 %elements 一起表示格式。你可以找到a list of all the format specifiers here。

我猜十进制数是生成请求所需的时间，单位为秒（%T - 四舍五入）和微秒（%D - 更精确）。但是，这是基于日志库中通常可用的内容的猜测 - 没有配置或标头信息，您无法真正说出。

【讨论】：