负载均衡访问日志字段解读是什么
负载均衡访问日志逐请求记录客户端、目标后端、状态码与字节数，是入口层最完整的逐请求视图。它位于应用之前，用来回答两个问题：请求有没有到后端、错误是哪一层返回的。定位到具体请求后再下钻到后端应用日志核实。
基本信息
| 适用范围 | 四层与七层负载均衡、API 网关的访问日志 |
|---|---|
| 关键字段 | 入口状态码、目标地址与端口、收发字节数、处理耗时 |
| 时间精度 | 通常含毫秒，与秒级日志对齐时注意精度 |
| 日志位置 | 由负载均衡配置投递到对象存储或日志服务 |
典型使用场景
- 判断请求是被入口拒绝还是后端处理失败
- 分析后端健康检查失败造成的 502/503
- 统计某客户端的请求量、状态码分布与流量
- 排查上游超时：看目标处理耗时与响应字节数
- 与 WAF、应用日志交叉定位某次攻击请求的去向
查看字段
查看字段
head -1 alb_access.log | tr ' ' '\n' | nl # 逐字段编号，确认取值含义
awk '$8>=400' alb_access.log | tail -20 # 按状态码筛异常请求
awk '{print $8}' alb_access.log | sort | uniq -c | sort -rn | head # 状态码分布
awk '$8==200 && $7 ~ /\.(zip|sql)$/ {print $1,$4,$7}' alb_access.log # 成功下载大文件
# 先看状态码趋势，再挑单条请求下钻到后端日志核实字段读法
| 字段 | 含义 | 异常表现 |
|---|---|---|
| 入口状态码 | 负载均衡返回的状态码 | 与目标状态码不同说明被入口改写 |
| 目标地址与端口 | 请求实际转发的后端 | 集中在单台后端说明分发不均 |
| 收发字节数 | 请求与响应体大小 | 下载类请求响应字节异常偏大 |
| 入口处理耗时 | 入口自身耗时 | 偏大指向入口排队或客户端慢 |
| 目标处理耗时 | 后端处理耗时 | 偏大指向应用或数据库 |
客户端地址可能是前置代理的地址。要拿到原始客户端需配合转发的头部，而这类头部可被伪造，只应信任最近一个可信代理追加的值。
时间字段带毫秒。与秒级日志对齐时按时间窗口比较，直接做等值匹配会出现「全部对不上」的假象。