在 Unix 类操作系统上，syslog 广泛应用于系统日志。长期以来没有一个统一的标准来约束它的格式，导致各发行版、各应用程序的日志随意得像散落的拼图，这家伙...。

为什么我们需要「自定义」的日志格式？

想象一下 当你在凌晨三点翻看 /var/log/messages却只看到毫无头绪的时间戳和乱码——这时候， 最后强调一点。 你会忍不住抓狂：“到底哪条才是关键？”于是：

• 可读性：把日期、 主机名、进程 ID、线程信息都摆在显眼位置。
• 归档需求：很多审计系统要求日志必须带上完整的年份，否则跨年时会产生冲突。
• 兼容性：云平台或 SIEM 工具往往要求特定字段顺序。

何苦呢？ 哎呀，这可真是让人头疼啊！不过别慌， syslog 本身就为「灵活」预留了大把空间，只要稍微动动手指，就能把枯燥的文本变成一篇「艺术品」。

syslog 的四大核心字段，你真的了解吗？

syslog 默认记录四个字段：时间标签、 主机名、子系统名称以及消息内容。下面这张小表格， 把常见 facility 和 priority 对应关系列了出来顺手收藏：

说实话，这种直观对照表，比起盲目翻文档要舒服太多了。

#1 用 rsyslog 配置模板， 实现「自定义」输出格式

rsyslog 是当前最流行的 syslog 实现之一，它提供了强大的模板引擎。 我跪了。 下面给出一个最常见的需求：在每条日志前加上完整日期以及 JSON 风格的结构体。

# /etc/rsyslog.conf
module   # 本地 Unix socket
module     # 内核日志
# 定义模板
template {
    constant
    property
    constant
    property
    constant
    property
    constant
    property
    constant
    property
    constant
}
# 将所有 authpriv 信息写入 /var/log/auth.json
authpriv.*   -/var/log/auth.json;myJsonFormat
# 将内核错误写入专用文件
kern.err     -/var/log/kern.err;myJsonFormat

看完代码，是不是有种「自己造轮子」的快感？如果你觉得还不够炫酷，可以继续在模板里加入线程 ID、进程 PID，甚至是自定义标签，弄一下...。

#2 使用 systemd-journald 的 Structured Logging 功能

如果你的发行版已经默认使用 systemd，那么其实根本不需要再装 rsyslog——systemd-journald 天生支持结构化日志。只要在服务单元里写几行 ExecStartPre，就能把键值对直接塞进去，说到底。。

# /etc/systemd/system/myapp.service
ExecStart=/usr/local/bin/myapp
Environment=APP_ENV=production
# 在代码里使用 libsystemd.so 的 sd_journal_print
# 示例：
sd_journal_print;

吃瓜。 systemd 会自动把这些键值对写入二进制日记文件，你可以用 journalctl -o json-pretty -u myapp.service | grep login_success 直接查看。

"噪声"也可以成为亮点——适当插入情绪化文字，让阅读更有温度！

有时候， 一段枯燥的数据背后需要一点人情味才能打动读者。比如：，蚌埠住了...

• "这条日志记录的是服务器凌晨 02:13 报错， 我瞬间心跳加速，主要原因是那正是我刚完成部署的时刻。"
• "每次看到 Cron 的施行后来啊，我都会暗暗为自己的计划能力点个赞。"
• "看到磁盘满警告，我忍不住想起上个月忘记清理旧备份的尴尬。"

这些“小彩蛋”虽然算是“噪声”，但恰恰能让枯燥的技术文章变得更有人情味。

#3 高阶技巧：自定义插件让 rsyscat 打造「管道」式处理链路

If you think templates are enough, think again! rsyslog 支持外部模块，可以把每条日志喂给脚本进行二次加工，这事儿我可太有发言权了。。

绝绝子... module # 调用外部程序 action(type="omprog" binary="/usr/local/bin/logfilter.sh" template="myJsonFormat")

while read line; do # 简单过滤掉 debug 等级 ] && continue echo "$line" done，可以。

这样一来 你就拥有了类似 ELK 前置过滤器的功能，而无需额外部署 Logstash。

实战案例：从「乱七八糟」到「一目了然」的迁移过程

1. 原始状态：/var/log/messages 每行只有 “Oct 12 10:15:32 hostname kernel: …”。没有年份，没有结构化字段，看起来像极了古老日记本。
2. 第一步：Add year via rsyslog template – 使用前文提到的 myJsonFormat；一边开启 imjournal，让 systemd-journald 与 rsyslog 双向同步。
3. Purge noisy messages – 利用 mmnormalize 模块匹配正则，只保留关键字段；其余直接丢弃或转存至 /var/log/ignored.log。
4. SEND to remote – 用 omfwd 把 JSON 日志发送到 Graylog 或 Splunk，实现集中监控和搜索。

#4 小结：定制你的 Syslog，不再是梦！

太坑了。 从今天起， 你可以按照自己的业务需求，把每条系统消息雕琢成符合审计规范、易于阅读且兼容云平台的数据。无论是通过 rsyslog 强大的模板引擎， 还是利用 systemd‑journald 原生结构化特性，都能轻松实现个性化日志管理。

P.S. 常见问题速查表

我当场石化。 © 2026 TechInsights • All Rights Reserved.