日志规范与成本治理：日志平台的第二课

搭好 ELK 只是第一课。第二课是：日志量失控了怎么办。我见过团队每天产生 5TB 日志、月度存储成本 20 万——其中 80% 是没人看的。日志治理 = 规范（写什么）+ 成本（存多少）+ 可用（找得到）。

一、先看成本是怎么爆的

日 爆 志 量 成 存 传 查 根 1 2 3 4 5 本 储 输 询 因 . . . . . 的 （ （ （ ： 构 热 网 E 无 大 循 保 冗 成 数 络 S 差 对 环 留 余 ： 据 带 别 象 里 期 字 宽 节 打 直 打 过 段 × ） 点 日 接 日 长 （ 规 志 打 志 （ 每 副 格 （ 印 （ 全 次 本 ） 每 （ 1 量 打 行 整 × 代 个 万 1 2 码 响 次 8 0 保 都 应 循 0 留 体 环 个 天 d 天 字 数 e 5 1 ） 段 ） b 0 ， u K 万 用 g B 条 到 ） ） ） 的 5 个 ）

二、日志规范（写什么）

级别规范

级别 用在哪 示例
DEBUG 本地调试 参数细节
INFO 关键业务事件 下单成功、用户注册
WARN 可恢复异常 重试、限流触发
ERROR 需要人工关注 调用失败、数据不一致

规范：

✅ ✅ ✅ ❌ 生 E 错 别 产 R 误 打 默 R 日 " 认 O 志 E R 要 r I 有 r N 必 " o F 须 可 r O 带 行 （ 上 动 o D 下 性 c E 文 " c B （ （ u U 哪 看 r G 个 了 r 用 知 e 不 户 道 d 落 、 怎 " 盘 哪 么 这 ， 个 处 种 除 订 理 无 非 单 ） 信 排 、 息 查 哪 量 ） 个 日 请 志 求 ）

字段规范（结构化）

 1
 2
 3
 4
 5
 6
 7
 8
 9
10

{
  "ts": "2026-05-10T10:00:00",
  "level": "ERROR",
  "service": "delivery-service",
  "trace_id": "abc123",
  "user_id": "u-123",
  "code": "ORDER_PAY_TIMEOUT",
  "msg": "订单支付超时",
  "duration_ms": 2300
}

统一字段：时间/级别/服务/trace_id/业务 ID/错误码/消息——没有统一字段，检索靠猜。

三、成本治理（存多少）

分层存储

热 温 冷 → 数 数 数 据 据 据 成 （ （ （ 本 近 7 3 ： - 0 热 7 3 - 0 1 7 天 8 0 ） 天 0 % ： ） S ： 天 + S 机 ） D 械 ： 温 ， 盘 对 完 / 象 2 整 冷 存 5 字 存 储 % 段 储 （ ， ， 归 + 秒 降 档 级 采 ） 冷 查 样 ， 询 查 5 用 % 再 拉

采样与裁剪

✅ ✅ ✅ ✅ 高 大 敏 重 流 字 感 复 量 段 字 日 接 裁 段 志 口 剪 脱 聚 （ （ 敏 合 健 响 （ （ 康 应 手 同 检 体 机 错 查 只 号 误 、 保 / 心 留 密 1 跳 码 ） s / 分 ： t T 钟 采 a o 样 t k N u e 1 s n 次 0 % + 打 → 码 或 s ） 合 直 i 并 接 z 成 不 e 打 ， 1 不 存 条 b + o d c y o ） u n t ）

预算制

按 超 → 服 预 务 算 让 / 告 日 按 警 志 团 量 队 + " 分 可 配 自 预 日 动 期 志 降 " 预 级 ， 算 （ 而 （ E 不 G R 是 B R 月 / O 底 天 R 看 ） 账 之 单 外 采 样 ）

四、日志平台的高阶能力

✅ ✅ ✅ ✅ 检 告 分 归 索 警 析 档 规 ： ： 恢 范 E 按 复 ： R 接 ： t R 口 冷 r O / 数 a R 错 据 c 误 查 e 率 码 询 _ 突 聚 通 i 变 合 道 d （ （ / T 不 全 o 能 链 特 p 查 路 定 N 检 错 = 索 误 错 （ 码 误 白 一 出 排 存 条 现 行 ） 请 ） 求 → 的 所 告 有 警 日 志 ）

五、踩坑记录

  1. 循环打日志：for i := range 10000 { log.Debug(i) } → 日志爆炸 → 循环里只打"最终结果"，或限频（每 100 次一条）
  2. 打印敏感数据：日志里出现用户手机号 → 合规事故 → 统一脱敏过滤器
  3. ERROR 不带上下文：只报"调用失败"，不知道哪个订单哪个用户 → 规范字段 + 必填校验
  4. 保留期一刀切：全量 180 天 → 存储爆 → 分层：ERROR 全保留，INFO 降采样

六、日志治理的投入产出

治 治 理 理 前 后 ： ： 5 1 T . B 2 / T 关 天 B 键 ， / 问 2 天 题 0 （ - 3 万 7 0 / 6 月 % 秒 ， ） 内 查 ， 定 一 成 位 条 本 （ 日 t 志 - r 要 7 a 0 c 5 % e ， _ 分 i 钟 d 一 键 查 全 链 路 ）

总结

日志治理的核心认知：

  1. 规范先行：级别、字段、内容三个规范，让日志"可检索可行动"
  2. 成本分层：热/温/冷三层存储 + 采样裁剪 + 预算制
  3. 日志是给排查用的，不是给"安心"用的：没人看的日志 = 浪费
  4. 治理指标：检索效率 + 存储成本 + 告警准确率

日志的第一课是"怎么收"，第二课是"怎么少收"。 会写日志是本能，会治理日志才是工程能力。