内网系统的日志留存，常常是验收时才被想起来。周期定短了不够查，定长了存储和清理又没人管。
一、按日志类型分开定
登录、权限变更、数据导出、业务操作，重要程度不一样。我们一般建议操作类至少留一年，登录与安全类更长，纯调试日志按周清理即可，别一锅端。
- 分类设留存周期
- 安全类单独延长
- 调试日志定期清理
二、日志要能查得动
只往文件里写、没人做检索，等于没留。至少提供按人、按时间、按操作对象三项组合查询，导出也要受权限控制。
- 三项组合检索
- 导出受权限管
- 查询本身也留痕
三、存储满了要有说法
磁盘写满导致系统停摆，比日志丢几天更麻烦。设阈值告警、自动归档到别处，并写进交付文档让运维知道往哪搬。
- 容量阈值告警
- 过期自动归档
- 归档位置写进文档
写在最后
上面这些是我们在这类项目里反复碰到的情况。业务不一样，做法不必照搬，先把自己的流程说清楚，再决定系统该怎么配。有具体场景想聊，电话或微信找我们就行。