ThinkPHP如何配置安全日志的自动轮转机制【安全】

ThinkPHP无法直接配置“安全日志”轮转，因其无独立security日志通道或驱动；所有日志（含安全事件）均统一写入runtime/log/下的普通文件，轮转只能基于路径整体进行，需选用Rotate驱动或logrotate系统工具之一，二者互斥且须严格配置权限、参数与验证机制。

ThinkPHP 本身不提供“安全日志”独立分类，所谓安全日志（如登录失败、权限拒绝、SQL注入尝试等）必须由开发者主动记录到常规日志中；自动轮转靠的是底层日志驱动或系统工具，不是框架内置的安全模块。

为什么不能直接配置“安全日志”轮转

ThinkPHP 没有 SecurityLog 类或 security 日志通道。所有日志（包括你手动写的 Log::error('Login failed from IP: ' . $ip)）都走统一的 log 驱动。所谓“安全日志”只是你写入时加了特定关键词或上下文，它物理上仍落在 runtime/log/ 下的普通 .log 文件里。

这意味着：轮转策略只能作用于整个日志目录，无法单独对“安全相关行”做切割或隔离归档。

• 你不能在 config/log.php 里写 'type' => 'SecurityRotate'——这个驱动不存在
• RotatingFileHandler 或 logrotate 都只认文件路径和命名规则，不解析日志内容
• 试图用正则从日志里提取“安全事件”再另存为单独文件，属于应用层逻辑，不在轮转机制职责范围内

真正可行的轮转方案只有两类

要让包含安全事件的日志能自动轮转，你只有两条路可选，且必须明确选其一：

立即学习“PHP免费学习笔记（深入）”；

• 换用 ThinkPHP 自带的 Rotate 驱动：改 config/log.php 中 'type' => 'File' 为 'type' => 'Rotate'，并配 'max_size' 或 'time_format'。这是最轻量、无需额外依赖的方式
• 用系统级 logrotate：把 runtime/log/*.log 路径交给 Linux 的 logrotate 管理，通过 daily/size + compress 实现切割压缩。适合生产环境统一运维

二者互斥，不能同时启用，否则会导致日志双写或轮转冲突。

Rotate 驱动配置的关键陷阱

看起来只要改个 type 就完事，但实际运行中常因这几个点失败：

• max_files 和 max_size 必须至少设一个，否则 Rotate 驱动退化为 File 行为，不轮转
• 如果设了 'time_format' => 'Y-m-d'，但服务器时区没设成 Asia/Shanghai，日志会按 UTC 时间切，导致白天写进昨天的文件，排查时找不到记录
• runtime/log/ 目录权限必须是 755（Web 进程需有 write + execute 权限），否则轮转 rename 失败，旧文件删不掉，新文件建不了
• max_size 单位是字节，10485760 是 10MB，别误写成 10M 或 10MB——PHP 会当字符串处理，轮转失效

logrotate 配置必须带 copytruncate

如果你选系统级轮转，/etc/logrotate.d/thinkphp 里这一行不能少：copytruncate。

原因很实在：ThinkPHP 的 PHP 进程持有日志文件句柄，logrotate 默认会 mv 旧文件再新建，但 PHP 还往原文件路径写，结果新日志全丢进被 rename 的旧文件里，而新文件始终为空。

• copytruncate 先拷贝内容再清空原文件，PHP 进程无感知，继续写原路径
• 必须搭配 create 640 www-data www-data（Ubuntu）或 create 640 apache apache（CentOS），否则清空后权限丢失，下次写入失败
• delaycompress 要和 compress 一起用，否则 copytruncate 模式下可能压缩一个刚清空的文件
• 测试命令别只跑 sudo logrotate -d（只检查语法），一定要加 -f 强制执行一次：sudo logrotate -f /etc/logrotate.d/thinkphp，然后看 runtime/log/ 是否生成 xxx.log.1 或 xxx.log-20260625.gz

真正难的不是配置本身，而是确认日志到底写到了哪、轮转后 PHP 还能不能正常追加、压缩文件有没有权限读取——这些都得动手验证，光看文档没用。