Question

我对syslog消息格式有点困惑。我必须编写一个解析syslog消息的程序。当我读到我在syslog-ng实例中得到的内容时，我得到这样的消息：

Jan 12 06:30:00 1.2.3.4 apache_server: 1.2.3.4 - - [12/Jan/2011:06:29:59 +0100] "GET /foo/bar.html HTTP/1.1" 301 96 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12 ( .NET CLR 3.5.30729)" PID 18904 Time Taken 0

我可以清楚地确定真实的消息（在这种情况下是Apache访问日志消息）其余的是关于系统日志消息本身的元数据。

但是，当我阅读RFC 5424消息时，示例如下：

没有结构化数据

 <34>1 2003-10-11T22:14:15.003Z mymachine.example.com su - ID47 - BOM'su root' failed for lonvick on /dev/pts/8

或结构化数据

<165>1 2003-10-11T22:14:15.003Z mymachine.example.com evntslog - ID47 [exampleSDID@32473 iut="3" eventSource="Application" eventID="1011"] BOMAn application event log entry...

所以现在我有点困惑。什么是正确的系统日志消息格式？这是RFC 5424已过时RFC 3164的规范版本问题？

Answer 1

这种情况下的问题是apache是通过标准syslog（3）或通过logger进行日志记录的。这仅支持旧的（RFC3164）syslog格式，即此处没有结构化数据。为了让apache日志中的字段显示为RFC5424结构化数据，apache需要以这种方式格式化日志。

第一个示例不是正确的RFC3164 syslog，因为优先级值是从标头中删除的。适当的RFC3164格式如下所示：

<34>Jan 12 06:30:00 1.2.3.4 apache_server: 1.2.3.4 - - [12/Jan/2011:06:29:59 +0100] "GET /foo/bar.html HTTP/1.1" 301 96 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; fr; rv:1.9.2.12) Gecko/20101026 Firefox/3.6.12 ( .NET CLR 3.5.30729)" PID 18904 Time Taken 0

传统上，rfc3164系统日志消息将保存到已删除优先级值的文件中。

另外两个是RFC5424格式。

Answer 2

如果您可以访问系统上已安装的syslog-daemon，则可以将其配置为以不同的格式写入日志（本地或通过网络接收）。例如，rsyslogd允许配置你自己的格式（只是写一个模板），如果我没记错，还有一个内置的模板以json格式存储。并且几乎所有语言都有库来解析json。

与syslog消息格式混淆

2 个答案: