代理日志只写“连接失败”，无法判断问题发生在哪一层；如果把完整URL、请求头、账号密码和正文全部保存，又会造成过度收集和凭据泄露。好的日志设计要用最少字段回答四个问题：何时发生、使用哪条节点、失败在哪个阶段、影响了哪些请求。
代理排错的核心字段
| 字段类别 | 建议内容 | 用途 |
|---|---|---|
| 时间 | 带时区的高精度时间、持续时长 | 对齐客户端、代理与目标日志 |
| 关联 | 请求ID、连接ID、追踪ID | 串起同一次请求的各阶段 |
| 节点 | 内部节点ID、区域、配置版本 | 定位具体代理和变更 |
| 协议 | HTTP CONNECT、SOCKS5、TCP/UDP、IPv4/IPv6 | 区分协议路径 |
| 阶段 | DNS、连接、认证、TLS、首字节、读取 | 确定故障层 |
| 结果 | 规范化错误码、HTTP状态、代理响应码 | 聚合统计与告警 |
| 性能 | 各阶段耗时、字节数、重试次数 | 发现超时和容量问题 |
| 版本 | 客户端、服务端、规则和配置版本 | 判断发布回归 |
IP和域名应该记录到什么程度
是否记录完整客户端IP、目标域名或代理出口，取决于业务用途、法律要求和排错必要性。可以采用：
- 短期安全日志中保存必要的完整地址，严格限制访问；
- 长期统计使用截断、加盐哈希或不可逆分组；
- 目标域名只记录批准的分类或哈希，避免保存完整URL路径；
- 将身份映射与技术日志分库存储，减少单点关联风险；
- 按事件严重性提升临时日志级别，到期自动恢复。
哈希并不自动等于匿名，IP和常见域名空间可被枚举。应使用受控密钥或盐，并评估是否仍可关联个人。
哪些字段默认不应记录
| 敏感内容 | 风险 | 推荐处理 |
|---|---|---|
| 代理密码和Authorization | 可直接接管服务 | 完全过滤，泄露立即轮换 |
| Cookie和会话令牌 | 账号劫持 | 不记录或仅记录不可逆标识 |
| 完整URL查询参数 | 可能含令牌、手机号、搜索内容 | 只保留主机或批准字段 |
| 请求/响应正文 | 可能含个人、业务和凭据数据 | 默认关闭，特批调试并脱敏 |
| 客户端证书私钥 | 身份失陷 | 绝不写入日志 |
| 完整PAC/配置 | 可能含内部拓扑和凭据 | 记录版本号与哈希 |
错误信息也可能泄密
底层库可能把完整代理URL、用户名、文件路径和目标查询参数拼进异常文本。即使代码没有主动记录密码，直接输出 exception.ToString() 也可能泄露。
建立结构化错误映射：保留错误类型、阶段和安全描述，原始异常进入受限短期通道并先经过敏感字段过滤。
日志分层比一份“全量日志”更安全
- 运行日志：低敏感、长期用于可用性和告警；
- 安全审计：记录认证、权限和配置变更，访问更严格；
- 调试日志：短期、按事件开启、自动到期；
- 业务审计：由业务和法务定义，不与网络日志无限合并。
不同日志设置不同权限、留存、加密和删除机制。不要因为“以后可能有用”永久保留所有字段。
怎样让日志真正可关联
客户端生成请求ID，代理入口沿可信链传递或重建，服务内部再使用trace ID关联。外部用户可伪造请求头，因此入口应校验格式、限制长度，并生成自己的可信关联ID；不要把用户提供的任意字符串直接作为索引或日志文件名。
访问控制和留存怎么定
- 明确用途。每个字段对应具体排错、安全或计费目的。
- 最小权限。运维只能看所需节点，安全团队按事件授权，开发默认看脱敏日志。
- 传输与存储加密。密钥由独立系统管理并轮换。
- 设定留存期限。原始详细日志短期，聚合统计可更长；到期自动删除。
- 记录查询行为。谁在何时查看、导出或修改日志策略应可审计。
- 支持删除与事件响应。误采集敏感数据时能定位、隔离、删除并轮换凭据。
具体期限和个人信息处理应结合适用法律、合同与组织制度，由安全、法务、隐私和业务共同确认。
上线前做一次“故意泄露”测试
在隔离测试环境使用明确的假令牌、假Cookie和含敏感参数的示例请求，检查应用日志、代理日志、APM、崩溃平台和CI输出是否成功过滤。测试值必须是假数据，不能拿真实凭据验证脱敏。
再模拟DNS失败、407、TLS失败、读取超时，确认每种错误都有阶段、节点和耗时，且不打印秘密。
一个够用的结构化示例
{
"time": "2026-07-22T10:00:00+08:00",
"request_id": "generated-id",
"node_id": "proxy-cn-01",
"protocol": "http-connect",
"stage": "tls_handshake",
"duration_ms": 820,
"result": "timeout",
"config_version": "v42"
}示例没有客户端身份、完整目标、凭据和正文，但足以按节点、阶段和版本聚合。需要更深调查时，通过受控临时日志增加必要字段。
需要网络和服务器资料时，可以从极跃圈网址导航选择。代理日志的质量不在于字段最多，而在于能用最少且可信的数据还原故障，同时不制造新的安全和隐私风险。
