日志应足以重建安全事件，又不应成为新的敏感资料库。优先记录时间、动作、结果、对象和可关联标识，对密码、访问令牌、会话凭据及无必要的完整请求正文进行排除或脱敏。
先定义需要回答的问题
登录失败、权限变更、文件写入和外部接口异常需要不同信息。先明确谁在何时对哪个对象做了什么、结果如何，再决定采集字段。无差别记录所有请求和响应，不仅占用空间，也会使有用线索被大量噪声淹没。
在采集源头保护秘密
认证头、密码重置令牌、表单证件和支付资料不应直接进入通用日志。对于需要关联的对象，可使用内部事件ID或经过设计的脱敏标识。不能假设日志只在服务器里就安全，维护导出、备份和告警邮件也可能复制这些内容。
统一时间并保护访问
为日志标明时区和来源系统，确保不同层事件能对齐。按职责限制读取与修改，日志不放在可直接下载的公开目录。若有完整性要求，设计独立保存或集中收集方式，而不是只依赖站点管理员可随时修改的一份文件。
规定保留与复核流程
按业务和适用要求确定保留期、容量、轮转及删除方式。事件发生后保存必要证据，普通排查导出则在结束后按规则清理。定期检查日志是否仍在写入、是否磁盘已满，并验证负责人能从告警找到对应原始记录。
关键区别
事件字段：支持定位与关联；按问题选择。
秘密资料：避免写入日志；导出也要脱敏。
保存期限：满足必要调查；不无限积累。
怎样确认处理到位
日志能还原约定事件，抽样不含明文秘密和多余个人资料，公开地址不可下载，时间、轮转与保留规则均可核对。
容易误判的边界
日志不足可能妨碍调查，日志过量也会增加泄露风险；不能用开启全部调试长期替代针对性监测。
