当 CDN 出现故障，日志分析是定位根源的利器。但面对海量日志，如何从状态码入手，快速缩小范围？本文将从实际问题切入，边操作边解释，带你掌握 CDN 日志分析的核心技巧。
状态码：故障的第一线索
CDN 日志中的状态码，是服务器对请求的响应标识。常见的 2xx 表示成功，4xx 表示客户端错误，5xx 表示服务器错误。但 CDN 日志中的状态码可能来自边缘节点或源站，需要结合日志字段区分。例如，502 通常意味着边缘节点无法从源站获取有效响应，而 504 则代表回源超时。根据 OWASP 日志安全速查表，日志应记录事件类型、时间戳、来源 IP 等关键信息，以便后续分析。
实际操作中，先筛选出非 2xx 的状态码，按出现频率排序。高频状态码往往指向系统性问题，低频则可能是个别请求异常。例如，大量 403 可能源于访问控制配置错误，而零星的 404 可能是资源路径问题。
502/504：回源故障的典型信号
502 和 504 是 CDN 故障中最常见的状态码。502 表明源站返回了无效响应，可能是源站应用崩溃或防火墙拦截；504 则是边缘节点等待源站响应超时。此时，需要检查源站负载、网络延迟和超时配置。若源站日志显示请求已到达但处理缓慢，则问题在源站性能；若源站无请求记录，则可能被边缘节点拦截或网络不通。
处理这类问题，可参考站内文章《CDN回源502/504故障排查与Upstream优化实战》，其中详细介绍了排查步骤和优化方案。同时，OpenTelemetry 日志规范建议将日志与追踪关联，以便在分布式系统中快速定位问题链路。
4xx 状态码：客户端错误还是配置问题？
4xx 状态码通常表示请求有问题，但 CDN 场景下可能源于客户端或 CDN 配置。例如，403 可能因防盗链或 IP 黑名单触发，404 可能因缓存未命中且源站无此资源。分析时，需结合请求 URL、Referer、User-Agent 等字段。若大量 403 来自同一 IP 段，可能是封禁策略误伤；若 404 集中在特定路径，可能是源站资源被删除。
注意，CDN 可能将源站的 404 缓存，导致后续请求直接由边缘节点返回 404，而源站日志无记录。此时，可通过响应头中的 X-Cache 或 Age 字段判断是否命中缓存。
缓存命中与未命中的日志特征
缓存命中时，状态码通常为 200 或 304，且日志中会显示缓存命中标识（如 HIT）。未命中时，边缘节点会回源，日志中显示 MISS。分析缓存命中率，可发现配置问题。例如，缓存规则设置过短会导致频繁回源；忽略查询参数可能导致不同参数共享缓存，引发错误内容。
通过日志分析，可统计不同 URL 的命中率，找出低命中率的资源。若动态资源被强制缓存，可能导致内容过期，此时应调整缓存策略。日志分析还能帮助识别缓存污染，如恶意请求导致缓存中毒。
日志分析工具与流程
手动分析日志效率低，可借助工具。开源方案如 ELK（Elasticsearch, Logstash, Kibana）或 Loki 可集中收集和分析日志。OpenTelemetry 支持日志与追踪关联，建议在日志中注入 trace ID，便于跨系统追踪。OWASP 速查表也强调日志格式统一，便于自动化处理。
操作流程：先收集 CDN 节点日志，格式化后导入分析系统；然后按状态码、时间、URL 等维度筛选；最后结合源站日志和追踪数据定位根因。注意，日志可能包含敏感信息，需脱敏处理，遵守安全规范。
常见误区与注意事项
误区一：只看状态码，忽略响应时间。状态码相同但响应时间差异大，可能指向性能问题。误区二：忽略日志中的时间戳时区，导致分析错乱。误区三：未考虑 CDN 层级，如多次回源。此外，日志分析应结合监控告警，及时发现问题。
安全方面，日志可能被伪造，需验证来源。OWASP 速查表建议使用不可篡改的日志存储，并记录事件原始信息。同时，避免记录敏感数据，如 Cookie 或 Authorization 头。
总结
CDN 日志分析是故障排查的核心技能。通过状态码初步判断，结合日志字段深入分析，可快速定位回源、缓存、配置等问题。记住，日志分析不是孤立的，需与追踪、监控协同。持续优化日志记录和分析流程，才能提升故障处理效率。
参考资料
延伸阅读