Debian Node.js日志安全注意事项
确保Node.js应用以非root用户（如node或专用应用用户）运行，避免使用root权限写入日志。创建专用日志目录（如/var/log/myapp），通过chown将目录所有者设置为应用用户（如sudo chown -R node:node /var/log/myapp），并通过chmod设置合理权限（如755），仅允许所有者写入，其他用户仅读取或执行。若系统启用SELinux或AppArmor，需调整对应策略（如SELinux设置httpd_sys_rw_content_t上下文，AppArmor在配置文件中添加日志路径权限规则）。
绝对禁止在日志中直接输出敏感数据（如API密钥、数据库密码、用户隐私信息）。使用.env文件存储敏感数据，通过dotenv库加载，并将.env添加到.gitignore以避免提交至版本控制系统。在日志记录时，对可能包含敏感信息的字段（如请求体、响应体）进行脱敏处理（如用***替换密码字段）。
使用logrotate工具定期轮换日志文件，防止日志无限增长占用磁盘空间。创建/etc/logrotate.d/myapp配置文件，设置每日轮换（daily）、保留7天日志（rotate 7）、压缩旧日志（compress）、空日志不轮换（notifempty），并指定创建新日志文件的权限（如create 0640 node node）。示例配置：
/var/log/myapp/*.log { daily missingok rotate 7 compress notifempty create 0640 node node } 采用**ELK Stack（Elasticsearch+Logstash+Kibana）**或类似工具（如Graylog）集中收集、存储和分析日志。通过Logstash的file输入插件读取Node.js日志文件，配置Elasticsearch索引模板，利用Kibana实现日志可视化（如按级别、时间筛选），并设置监控规则（如错误日志数量突增、异常操作记录），及时触发警报（如邮件、短信通知管理员）。
对敏感日志（如包含用户隐私、财务数据的日志）进行加密存储。可使用GPG工具：生成密钥对（gpg --gen-key），用公钥加密日志文件（gpg --encrypt --recipient your_email@example.com app.log），加密后删除原始未加密日志。或在logrotate配置中添加postrotate脚本，自动加密轮转后的日志文件。
在日志中记录关键安全事件，包括用户登录/登出（成功/失败）、权限变更、配置文件修改、数据库操作等，添加user_id、request_id、timestamp等元数据以便追踪。定期审计日志（如每日检查错误日志、每周分析访问模式），使用工具（如ELK的Alerting功能、Prometheus+Grafana）设置异常检测规则（如同一IP短时间内多次登录失败、非工作时间的大批量数据访问），及时发现潜在攻击（如暴力破解、未授权访问）。
根据日志用途设置合适级别：error用于记录严重错误（如应用崩溃、数据库连接失败），warn用于记录潜在问题（如磁盘空间不足、第三方API调用失败），info用于记录常规操作（如用户登录、请求处理完成），debug仅用于开发调试（避免在生产环境中开启，防止日志污染）。通过环境变量（如NODE_ENV=production）动态调整日志级别，生产环境默认使用info或warn。
