日志应能回答何时、谁、对哪个对象做了什么以及结果如何。仅保存访问URL无法解释后台操作；保存全部请求内容又可能泄露口令和个人资料。
关联应用与服务器事件
记录时间、请求标识、账号标识、操作对象、结果及必要来源，统一时钟。重要事件包括登录异常、权限变化、批量导出和敏感配置修改。代理后的来源IP需要通过可信配置取得。
保护日志自身
限制访问与写入，必要时集中保存，防止被入侵服务器轻易删除所有记录。清理换行等可注入内容，避免日志伪造。口令、令牌、Cookie与敏感字段不应明文进入日志。
告警有明确处置动作
按事件重要程度、连续次数和业务基线配置，关联多个指标减少单请求噪音。监控负责人知道如何确认、升级和关闭告警；长期无人处理的红色面板并不是有效防护。
保留周期按用途确定
根据具体业务、风险与适用要求核对期限，不用一个固定天数覆盖所有系统。检查存储容量、权限和删除流程。验收时主动触发一次授权测试事件，验证记录、告警和处理链路。
参考资料
日志字段应支持事件关联
用请求或任务编号关联登录、权限变更与异常操作，记录结果而非仅记录接口访问。
字段脱敏且查询受控，保留访问日志与应用事件的关联，避免只有大量文本却无法追踪问题。
例如上传异常与文件变化时间相近，用请求编号和账号关联可缩小调查范围。