如何使用Ubuntu PHP日志监控

Ubuntu PHP日志监控实操指南

处理PHP应用，日志就是你的“眼睛”。问题发生时，能否快速定位，往往取决于你对日志监控的熟练程度。这份指南，就帮你把从基础定位到集中化监控的路径，一次性理清楚。

一 快速定位日志路径

第一步，得知道日志藏在哪里。不同的PHP运行方式和Web服务器，日志的“家”也不一样。下面这张清单，可以帮你快速锁定目标：

• PHP-FPM：通常位于 /var/log/php-fpm.log 或 /var/log/php7.x-fpm.log（这里的x对应你的PHP版本号）。这是PHP进程自身运行状态和错误的记录。
• Apache：如果使用Apache作为Web服务器，PHP错误通常会被写入 /var/log/apache2/error.log。
• Nginx：Nginx本身不解析PHP，它会将PHP请求转发给PHP-FPM处理。因此，你需要结合查看 /var/log/nginx/error.log（Nginx的错误）和PHP-FPM的日志。

如果按照上述路径没找到，别慌。最靠谱的方法是直接去检查对应服务的配置文件。打开php.ini、PHP-FPM的www.conf，或者Nginx/Apache的虚拟主机配置，找到error_log指令，那里指定的路径就是正确答案。不同系统和自定义配置下，路径可能会有差异，一切以你的实际环境为准。

二 命令行实时监控

找到日志文件后，实时监控是排查线上问题的利器。几个经典命令，足以应对大多数场景。

• tail -f：这是最常用、最轻量的跟踪工具。它会持续输出文件尾部新增的内容。
  • 示例：sudo tail -f /var/log/php7.4-fpm.log
• multitail：需要同时盯住多个日志文件？这个工具可以分屏显示。
  • 安装：sudo apt install multitail
  • 示例：multitail /var/log/php7.4-fpm.log /var/log/nginx/error.log
• less + F：用less命令打开文件后，按大写的F键，也能进入实时跟随模式，按Ctrl+C即可退出。
  • 示例：sudo less +F /var/log/apache2/error.log

这些命令非常适合临时排查和值守观察。如果日志量巨大，可以配合grep进行关键字过滤，比如tail -f /var/log/php-fpm.log | grep -i “error”，只关注错误信息。

三 进阶集中化监控 ELK

当服务器数量增多，或者需要长期分析、可视化日志时，命令行工具就显得力不从心了。这时，搭建一套ELK（Elasticsearch, Logstash, Kibana）栈是行业内的标准做法。

整个架构的流程是这样的：PHP应用 → Filebeat → Logstash → Elasticsearch → Kibana。简单说，就是收集、处理、存储、展示。

具体配置有几个关键点（以下以8.x版本为例）：

• Filebeat（部署在PHP服务器上）：负责收集日志。
  • 配置示例核心是定义输入路径和输出目标：

    filebeat.inputs:
    - type: log
      enabled: true
      paths:
        - /var/www/html/storage/logs/*.log # 你的应用日志
        - /var/log/**php*.log # 系统PHP日志
    output.logstash:
      hosts: [“logstash-server:5044”]

• Logstash：作为“数据管道”，负责解析和丰富日志。
  • 一个基础的配置需要包含输入、过滤和输出：

    input {
      beats { port => 5044 }
    }
    filter {
      grok {
        match => { “message” => “%{TIMESTAMP_ISO8601:timestamp} %{LOGLEVEL:level} %{GREEDYDATA:message}” }
      }
      date {
        match => [“timestamp”, “ISO8601”]
        target => “@timestamp”
      }
      mutate { remove_field => [“timestamp”] }
    }
    output {
      elasticsearch {
        hosts => [“http://localhost:9200”]
        index => “php-logs-%{+YYYY.MM.dd}”
        user => “elastic”
        password => “your_password”
      }
    }

• Elasticsearch：存储和检索日志数据。单节点测试时，配置可简化为设置网络主机和发现类型：network.host: 0.0.0.0；discovery.type: single-node。
• Kibana：通过浏览器（默认端口5601）访问，进行日志的可视化、搜索和仪表板制作。

这里有个重要建议：在PHP应用侧，尽量使用像Monolog这样的库，将日志输出为结构化的JSON格式。这样一来，Logstash的grok解析会轻松很多，后续检索也更高效。

四 日志轮转与保留策略

日志文件如果不加管理，很快就会撑满磁盘。Linux系统自带的logrotate工具，就是用来管理日志的轮转、压缩和清理的。

• 你可以手动触发一次轮转来测试配置：sudo logrotate -f /etc/logrotate.conf。
• 更合理的做法是，为PHP-FPM日志和业务应用日志单独配置轮转策略。根据你的需求，设定好轮转周期（如每天、每周）、保留的份数（如保留30天）以及是否启用压缩。这既能保证磁盘空间，也确保了日志在合规期内可供查询。

五 实用排查与配置要点

最后，分享几个实战中高频出现的要点，能帮你少走弯路。

首先，确保PHP错误日志功能是打开的。编辑php.ini文件，确认以下配置：

• error_reporting = E_ALL （报告所有错误）
• log_errors = On （开启日志记录）
• error_log = /var/log/php_errors.log （指定日志路径，确保目录可写）

修改后，别忘了重启相关服务：sudo systemctl restart apache2 或 sudo systemctl restart nginx。如果使用了PHP-FPM，还需要重启php-fpm服务。

其次，遇到问题时的排查顺序很重要。可以遵循以下路径：

1. 先看PHP-FPM日志：检查/var/log/php7.x-fpm.log，看是否有进程异常退出、慢请求记录等底层问题。
2. 再看Web服务器错误日志：查看/var/log/nginx/error.log或/var/log/apache2/error.log，定位请求在Web服务器处理阶段出现的错误，比如权限问题、文件未找到等。
3. 最后检查监控链路：如果使用了Filebeat等采集工具，务必确认采集路径是否正确、文件权限是否足够，以及到Logstash或Elasticsearch的网络连通性是否正常。

按照这个流程走下来，绝大多数PHP日志相关的问题，都能被清晰地定位和解决。