日志保留多久合适

日志留多久没有统一答案，但有三层账可以算：磁盘成本、排障需求、合规要求。三层对齐，期限自然就定下来了。 第一层：磁盘成本 访问日志是空间大户，流量稍大的站点一天几百兆很平常。用 logrotate 按天切割、压缩、滚动删除： ``` /var/log/nginx/*.log { daily rotate 30 compress missingok notifempty } ``` 保留 30 天、旧日志自动压缩，配置前后用 du -sh /var/log/nginx 对比一次，效果立竿见影。高频写入的调试日志可以改按大小轮转，size 触发更及时。 第二层：排障需求 日常排障看的是最近几天的日志，7 到 30 天足够覆盖大多数问题。窗口长度还要匹配团队的发现节奏：问题平均一周后才会被反馈的，窗口就不能只有三天。月末对账出错、周末高峰的偶发超时，也要靠更长的窗口复盘。排障的基本功是按时间窗检索：grep 加上日期和小时，窗口收得越窄定位越快，这也是日志要规范时间格式的原因。业务关键系统的错误日志是低频高价值数据，建议比访问日志留得更久。 第三层：合规底线 《网络安全法》要求留存相关的网络日志不少于六个月，这是底线。涉及支付、用户身份的操作日志，按所在行业的监管要求执行，通常更久。合规留存的重点是登录、操作、审计类日志；访问明细可以用压缩和归档来控成本，留存不等于可读：归档要建好索引和权限，真要调一年前的记录，半小时内拿不出来就算不达标。热日志放本机，长期归档转成压缩包放低成本存储。 分级保留方案 把日志分三类定期限：安全与登录类留 180 天以上，应用错误类留 90 天，访问与调试类留 30 天以内。两类日志分开用不同的轮转配置管理：安全类只归档不删除，访问类滚动覆盖，各走各的周期。到期自动删除，台账里写清每一类的期限与存放位置。 期限定好之后，剩下交给 logrotate 和监控：别让日志无限生长，也别短到出事时无据可查。