Node.js日志中的用户行为怎么追踪

Node.js 日志追踪用户行为的落地方案

先说几个核心判断。在Node.js生态里做用户行为追踪，最大的坑往往不是技术选型，而是日志结构本身。如果你的日志还停留在“字符串拼接+console.log”的阶段，那后续无论上什么分析工具，都会事倍功半。所以，第一步，也是最重要的一步，就是让日志变得“结构化”。

从核心思路讲起。最理想的状态，是每一条日志都像一个数据卡片，能直接回答几个关键问题：谁干的？什么时间？在哪个页面？做了什么事？结果如何？具体到字段，建议固化这么一组维度：userId（或匿名ID）、sessionId、event事件名、path、method、status、duration、ip、userAgent、referer、timestamp。所有字段统一用JSON格式输出，这样后续无论是grep检索、还是导入ELK聚合，都会非常顺手。

在Express框架里，实现方式其实很轻量。通过一个中间件集中采集请求级行为，关键业务环节（比如登录、注册、支付）再单独显式打点。这样既能避免重复埋点，也不容易遗漏重要的业务节点。生产环境就别再用console了，换成winston、pino这类成熟的日志库，并且配置多目标输出——文件写一份方便回溯，控制台输出一份方便实时排查，有条件的话再推一份到远程日志中心。

下面直接看代码示例。先看结构化日志器的实现，用winston配合JSON格式：

// logger.js
const winston = require('winston');
const { combine, timestamp, json } = winston.format;

const logger = winston.createLogger({
  level: 'info',
  format: combine(timestamp(), json()),
  transports: [
    new winston.transports.File({ filename: 'logs/error.log', level: 'error' }),
    new winston.transports.File({ filename: 'logs/combined.log' }),
    new winston.transports.Console({ format: winston.format.simple() }),
  ],
});

module.exports = logger;

然后是Express中间件，负责采集每次请求的轨迹，包括响应耗时和用户信息：

// middleware/audit.js
const logger = require('../logger');

function auditMiddleware(req, res, next) {
  const start = Date.now();
  const { method, originalUrl: url, ip, headers, body } = req;
  const userId = req.user?.id || req.sessionID || 'anonymous';
  const sessionId = req.sessionID || 'unknown';

  res.on('finish', () => {
    const durationMs = Date.now() - start;
    logger.info({
      event: 'http_request',
      userId,
      sessionId,
      method,
      url,
      status: res.statusCode,
      durationMs,
      ip,
      userAgent: headers['user-agent'],
      referer: headers['referer'],
    });
  });

  next();
}

关键业务事件单独打点，比如用户登录：

// routes/auth.js
const express = require('express');
const router = express.Router();
const logger = require('../logger');

router.post('/login', (req, res) => {
  // ... 登录逻辑
  const { username } = req.body;
  logger.info({
    event: 'user_login',
    userId: username,
    method: req.method,
    path: req.path,
    ip: req.ip,
    userAgent: req.headers['user-agent'],
  });
  res.json({ message: 'ok' });
});

module.exports = router;

如果想把访问日志和业务日志分开管理，还可以用morgan输出一份独立的访问日志，格式自定义：

// app.js
const morgan = require('morgan');
const express = require('express');
const app = express();

morgan.token('custom', (req, res) => JSON.stringify({
  method: req.method,
  url: req.url,
  status: res.statusCode,
  userAgent: req.headers['user-agent'],
  referrer: req.headers['referer'],
}));

app.use(morgan(':custom'));

这一套组合下来，基本能在不侵入业务代码的前提下，稳定采集所有请求轨迹和关键业务事件。接下来要解决的问题是：怎么从海量日志里快速定位某个用户的行为？

中小规模场景下，直接用文件配合readline逐行解析即可：

// searchUserActions.js
const fs = require('fs');
const readline = require('readline');

async function locateUserActions(userId, logPath = 'logs/combined.log') {
  const fileStream = fs.createReadStream(logPath);
  const rl = readline.createInterface({ input: fileStream, crlfDelay: Infinity });

  for await (const line of rl) {
    try {
      const entry = JSON.parse(line);
      if (entry.userId === userId) {
        console.log(entry);
      }
    } catch (err) {
      // 忽略非 JSON 行
    }
  }
}

locateUserActions('user123');

但如果日志量级上来了，还是建议走集中式检索方案。主流做法是把日志导入ELK（Elasticsearch + Logstash + Kibana）或Graylog，然后在Kibana里建立索引模式，按userId、event、时间范围做快速筛选和可视化。

数据分析层面，有两种思路。一是命令行快速统计，比如统计页面浏览次数：

# 提取 page_view 事件并统计各页面次数
grep 'page_view' logs/combined.log | \
awk -F'"page":"' '{print $2}' | awk -F'"' '{print $1}' | \
sort | uniq -c | sort -nr

二是入库分析，比如写入MongoDB再做聚合：

// ingest.js（节选）
const { MongoClient } = require('mongodb');
const fs = require('fs');
const readline = require('readline');

async function ingest(logPath, uri = 'mongodb://localhost:27017') {
  const client = new MongoClient(uri);
  await client.connect();
  const col = client.db('logs').collection('user_beha vior');
  const stream = fs.createReadStream(logPath);
  const rl = readline.createInterface({ input: stream, crlfDelay: Infinity });

  for await (const line of rl) {
    try {
      const doc = JSON.parse(line);
      await col.insertOne(doc);
    } catch (e) { /* 忽略解析错误 */ }
  }

  await client.close();
}

可视化层面，Kibana可以构建PV/UV、登录转化率、API成功率、延迟分布等仪表盘。如果更追求实时指标，可以用Prometheus + Grafana暴露请求耗时直方图、活跃请求数等，和日志系统形成互补。

最后聊聊生产实践中必须注意的几个要点。

日志轮转与保留。磁盘空间是有限的，建议用pm2或logrotate按日轮转、压缩，保留7天左右。logrotate配置示例：

# /etc/logrotate.d/nodejs
/var/log/nodejs/*.log {
  daily
  missingok
  rotate 7
  compress
  notifempty
  create 0640 root adm
}

采样与性能。高流量接口可以对访问日志做采样（比如只记录10%），但关键业务事件必须全量记录。另外，日志里绝对不能出现密码、令牌、身份证号这类敏感信息，必要时得做脱敏或哈希处理。

关联标识。建议在日志中统一使用userId（已登录）或sessionId（未登录），这样跨请求、跨服务的串联会非常顺畅。如果是前端SPA，还可以注入traceId贯穿整个链路。

监控告警。结合Prometheus和Grafana设置错误率、延迟、异常流量等告警规则，能有效缩短故障发现时间。毕竟，日志不只是用来“事后复盘”的，更是用来“实时发现异常”的。