直接答案：日志应保留到足以覆盖故障发现和调查窗口，但具体天数取决于业务、合同、行业要求和成本。访问、错误、系统、安全、数据库和审计日志用途不同，应分别定义字段、在线热存、压缩归档和删除期限。既不能为省空间过早删除，也不能无限保存包含IP、账号或令牌的敏感数据。保留策略还要写明谁能读取、谁能删除、如何证明归档完整，以及到期删除如何复核。
本文于 2026 年 9 月按官方文档核对。命令和配置只展示判断方法，不代表可在任意生产环境直接复制；发行版、云平台、网络拓扑和业务写入不同，执行前必须确认对象、权限、备份和带外恢复入口。
专属资产：日志容量与检索窗口公式
| 现象/阶段 | 要判断什么 | 需要的证据 | 安全边界 |
|---|---|---|---|
| 访问日志 | 流量、状态、耗时、爬虫 | 短期热存+汇总 | 避免记录敏感查询 |
| 错误日志 | 故障栈和上游原因 | 覆盖发布与发现周期 | 按级别控制噪声 |
| 安全/登录 | 认证、提权、规则变化 | 独立保护与较长窗口 | 限制访问和防篡改 |
| 数据库慢日志 | 慢SQL与锁 | 按需启用和轮转 | 可能包含业务值 |
| 审计日志 | 关键变更与责任 | 按制度保留 | 时间同步和完整性优先 |
这张表要求每个结论至少有两个相互独立的证据，例如“服务监听+外部连接”“设备延迟+业务耗时”“备份文件+隔离恢复”。单一控制台绿灯、单次截图或一个User-Agent都可能误导，不能作为完成依据。
为什么常见的一键处理容易失败
运维问题通常跨越控制台、操作系统、应用和外部依赖。重启、全放行、清缓存或重装会改变多个变量，并可能清掉最有价值的现场。正确顺序是先定时间线和影响范围，再确认最靠近故障的证据层，最后做可回滚的最小动作。
对于有数据库、订单、表单、队列或用户上传的站点，还要先判断当前是否仍在写入。回滚旧快照、切回旧主机或恢复旧数据库前，必须处理变更期间的新数据；否则技术状态恢复了，业务数据却可能倒退。
六步安全执行流程
1. 确认对象与基线
列出每类日志的用途、负责人、敏感字段、最大调查窗口和恢复方式；保留期必须能回答‘最晚多久会发现问题’。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
2. 保留恢复入口
采样七天或一个业务周期，计算未压缩日增量、压缩比、索引膨胀和高峰倍数。容量预算=日增量×热存天数+压缩归档+重建/缓冲余量。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
3. 取得直接证据
为Nginx记录时间、请求、状态、字节、总耗时、上游耗时和必要UA；密码、Cookie、Authorization、完整令牌和敏感表单不得写入普通日志。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
4. 只做最小变更
配置logrotate或应用轮转，明确频率、大小、保留数、压缩、权限和重载方式。copytruncate有数据丢失窗口，应优先使用服务支持的重开日志机制。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
5. 验证业务与副作用
安全与审计日志应异地或只追加存储，并限制删除权限。时间必须同步；没有统一时间线，跨系统调查很难可靠。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
6. 重启或跨峰复验
每月抽取一个历史事件做检索测试，验证能按域名、请求ID、用户、状态和时间关联。监控日志增长、轮转失败和预计耗尽时间。
每一步都要写明执行时间、操作者、原始结果和预期；涉及删除、覆盖、网络规则或服务停止时，先确认备份与回滚命令。
不应直接照做的五种处理
- 只按磁盘剩余临时删日志
- 日志中记录密码和完整令牌
- 轮转后服务仍写旧文件
- 所有日志使用同一保留期
- 归档存在但无法检索或解密
这些做法并非永远错误，而是缺少适用条件。若确需执行，应在变更单中写清目标、影响范围、停止阈值、备份位置、回滚命令和预计恢复时间；高风险动作先在副本或小流量上演练。
回滚触发与数据边界
出现核心写入失败、持续5xx、管理员入口丢失、数据校验不一致、尾延迟越过停止阈值或监控失明时，应停止继续扩大变更。回滚前确认新旧环境各自产生了哪些写入，保留日志和配置差异；回滚后用相同请求和同一时间窗口重测，而不是只看首页恢复。
如果故障根因尚未确认但必须先恢复服务，可以采用限流、摘除单节点、恢复上一配置或临时切流等缓解措施，并明确它只是临时处置。恢复后仍要完成根因分析和复发验证，不能把“重启后正常”写成最终原因。
验收清单
- [ ] 每类日志有用途负责人
- [ ] 日增量和容量可复算
- [ ] 敏感字段已脱敏
- [ ] 轮转与压缩实际执行
- [ ] 旧句柄已释放
- [ ] 异地归档可读取
- [ ] 时间线一致
- [ ] 历史事件可检索
验收应由另一位维护者按记录复现至少一项关键检查，并覆盖重启、真实高峰或等价受控负载。所有失败项都记录实际值与时间，不使用“基本正常”“应该没问题”作为关闭条件。
相关资料与隔离测试入口
站内可继续参考磁盘满清理、监控告警、CPU异常流量排查。需要搭建副本验证配置时，可查看美国轻量云和美国弹性云服务器的实时规格；先确认库存、价格和适用条件，不把测试环境当备份或生产容灾。
常见问题
网站日志保留30天够吗？
要看故障发现、退款争议、安全调查和制度要求。若异常通常两个月后才发现，30天显然不足；应从调查窗口反推。
能否只保留统计报表不留原始日志？
报表适合趋势，但无法回答单次请求、错误链和安全事件。可分层保存：短期原始、较长期聚合，并明确丢失的调查能力。
日志压缩会影响检索吗？
会增加读取成本但节省空间。应保留索引或可自动解压流程，并实际测量历史查询时间。
删除大日志后空间没释放怎么办？
进程可能仍持有已删除文件。用lsof确认并安全重开日志或重载对应服务，不能盲目重启整机。
合规要求是不是越久越好？
不是。应按适用法规、合同和业务制度确定最小必要保留，并遵守数据最小化和访问控制；不确定时咨询合规人员。