如何配置SVN服务端日志分离输出以便于ELK系统收集

SVN服务端本身确实没有直接输出结构化日志的能力，但这并不意味着它和ELK系统无缘。问题的核心其实不在“让SVN原生支持JSON”，而在于怎么把它的操作行为转化成ELK能消费的输入源。说白了，就是三步：日志路径分离 + 格式标准化 + 采集适配。活儿不重，但顺序和细节一旦搞错，后面排查起来会非常头疼。

日志按用途分离输出到不同文件

SVN没有内置多通道日志这个功能，所以得手动拆分。拆分的目的是让Logstash能按日志类型分别配置input和filter，避免混在一起解析出乱子。

• 访问日志（连接、认证、命令执行）
  用 svnserve --log-file 指定独立文件，比如 /var/log/svn/access.log。
  启动命令示例：

  svnserve -d -r /home/svn --log-file /var/log/svn/access.log

  这日志会包含时间、用户、IP、操作类型（checkout/commit/update）、路径，但文件变更的详细信息是没有的。

• 提交事件日志（结构化、含变更列表）
  这个得靠 post-commit 钩子脚本生成专用日志，比如 /var/log/svn/commit.log。
  在仓库 hooks/post-commit 里写上：

  #!/bin/bash
  REPOS="$1"
  REV="$2"
  AUTHOR=$(svnlook author -r "$REV" "$REPOS")
  DATE=$(svnlook date -r "$REV" "$REPOS" | cut -d' ' -f1,2)
  CHANGED=$(svnlook changed -r "$REV" "$REPOS" | awk '{$1=""; print $0}' | sed 's/^ //')
  echo "$(date -Iseconds) | $AUTHOR | r$REV | $DATE | $CHANGED" >> /var/log/svn/commit.log

  输出长这样：
  2026-06-19T10:22:35+08:00 | alice | r127 | 2026-06-19 10:22:34 +0800 | A trunk/src/main.ja va M trunk/pom.xml

• 权限/配置变更日志（可选）
  监控 conf/authz 和 conf/passwd 的文件变化，用 inotifywait 触发记录，存到 /var/log/svn/authz.log。这个不是必须的，但如果你经常调整权限，它能帮你回溯变更历史。

统一使用TSV或JSON格式写入

空格分隔的日志在解析时特别容易出歧义，尤其当路径或文件名里包含空格时。推荐用制表符（TSV）或者标准JSON。

• TSV更轻量，Logstash里用 csv filter 解析时设置 separator => "\t" 就行。
• JSON更通用，在钩子里改用 jq 构造：

jq -n --arg t "$(date -Iseconds)" --arg u "$AUTHOR" --arg r "$REV" --arg c "$CHANGED" \
  '{timestamp: $t, user: $u, revision: $r, changed: $c}' >> /var/log/svn/commit.json

输出示例：

{"timestamp":"2026-06-19T10:22:35+08:00","user":"alice","revision":"127","changed":"A trunk/src/main.ja va M trunk/pom.xml"}

两种格式都可以，选哪种取决于你的团队习惯和后续处理环节。如果只打算用Logstash做简单清洗，TSV完全够用；如果后面还要对接其他消费端，JSON更保险。

Logstash配置适配多源日志

在 logstash.conf 里定义三个独立的input，分别对应三类日志。这样每类日志可以单独指定解析规则，互不干扰。

input {
  file {
    path => "/var/log/svn/access.log"
    start_position => "end"
    sincedb_path => "/var/lib/logstash/svn-access.sincedb"
    tags => ["svn", "access"]
  }
  file {
    path => "/var/log/svn/commit.log"
    start_position => "end"
    sincedb_path => "/var/lib/logstash/svn-commit.sincedb"
    tags => ["svn", "commit"]
  }
  file {
    path => "/var/log/svn/commit.json"
    codec => "json"
    start_position => "end"
    sincedb_path => "/var/lib/logstash/svn-commit-json.sincedb"
    tags => ["svn", "commit", "json"]
  }
}

filter {
  if "access" in [tags] {
    grok { match => { "message" => "%{TIMESTAMP_ISO8601:timestamp} %{WORD:action} %{USER:user} %{IPORHOST:client_ip} %{PATH:repo_path}" } }
  }
  if "commit" in [tags] and "json" not in [tags] {
    csv {
      separator => "\t"
      columns => ["timestamp", "user", "revision", "date_raw", "changed"]
      convert => { "revision" => "integer" }
    }
  }
  mutate { remove_field => ["@version", "host", "path"] }
}

output {
  elasticsearch { hosts => ["http://es:9200"] index => "svn-%{+YYYY.MM.dd}" }
}

整体看下来，这套方案不复杂，但有个容易忽略的点：日志路径分离这一步往往被低估。很多人直接拿SVN的原生日志硬塞给ELK，结果解析字段乱七八糟，到最后还是得回头重新拆分。所以，把日志在源头就按用途分开，是后面所有环节能跑通的前提。