Debian下Node.js日志如何加密

在Debian环境下管理Node.js应用的日志，安全性是个绕不开的话题。如果日志里夹带了用户敏感信息、密钥或者内部业务数据，直接明文存储无异于裸奔。加密日志不是什么新鲜需求，但具体怎么落地，需要结合系统运维习惯和开发方式。下面梳理几种主流做法，从传统GnuPG方案到应用内加密，覆盖常见的场景。

方法一：使用GnuPG加密日志文件

GnuPG（GNU Privacy Guard）是Linux系统上最经典的加密工具，操作透明，适合对已生成的日志文件做批量加密。

1. 安装GnuPG：

   sudo apt-get update
   sudo apt-get install gnupg

2. 生成密钥对：

   gpg --full-generate-key

   按提示填写姓名、邮箱、密钥类型和有效期，完成后会生成公钥和私钥。

3. 加密日志文件：假设日志路径为 /var/log/myapp.log，执行：

   gpg --output /var/log/myapp.log.gpg --encrypt --recipient your-email@example.com /var/log/myapp.log

   生成加密文件 /var/log/myapp.log.gpg，原文件可以手动删除或交由后续清理流程处理。

4. 解密查看：

   gpg --output /var/log/myapp.log --decrypt /var/log/myapp.log.gpg

   需要输入私钥密码。适合定期审计或离线分析场景。

方法二：结合Logrotate自动加密

日志轮转（Logrotate）是Linux管理日志的标配，配合GnuPG可以实现日志轮转后自动加密，省去手动操作的麻烦。

1. 编辑Logrotate配置，比如 /etc/logrotate.d/myapp：

   /var/log/myapp.log {
       daily
       rotate 7
       compress
       missingok
       notifempty
       create 640 root adm
       postrotate
           /usr/bin/gpg --output /var/log/myapp.log.gpg --encrypt --recipient your-email@example.com /var/log/myapp.log
           /bin/rm /var/log/myapp.log
       endscript
   }

   配置解读：每天轮转一次、保留7份、压缩归档，轮转后立即对原日志加密并删除明文。

2. 强制测试：

   sudo logrotate -f /etc/logrotate.d/myapp

   确认加密文件生成无误后，即可加入定时任务。

方法三：使用rsyslog集成加密

如果已经用rsyslog来收集系统日志，可以直接在rsyslog层面做日志输出和加密，实现全链路的日志安全管理。

1. 安装rsyslog（通常Debian已预装）：

   sudo apt-get install rsyslog

2. 配置rsyslog识别Node.js应用日志：编辑 /etc/rsyslog.conf 或 /etc/rsyslog.d/50-default.conf，添加：

   if $programname == 'myapp' then /var/log/myapp.log
   & stop

   这样所有程序名为 myapp 的日志都会单独写入指定文件。

3. 重启rsyslog：

   sudo systemctl restart rsyslog

4. 后续加密：还是利用方法一中的GnuPG命令对 /var/log/myapp.log 进行加密，可以结合定时任务或Logrotate一起使用。

方法四：在Node.js应用内直接加密

如果不想依赖外部工具，或者日志需要实时加密后存储，可以在代码层用 crypto-js 等库完成加密。这种方式灵活性最高，但密钥管理需要额外注意。

1. 安装加密库：

   npm install crypto-js

2. 在代码中加密并写入日志：

   const CryptoJS = require('crypto-js');
   const fs = require('fs');
   
   const secretKey = 'your-secret-key';
   const logMessage = 'This is a log message';
   const encryptedLog = CryptoJS.AES.encrypt(logMessage, secretKey).toString();
   fs.appendFileSync('/var/log/myapp.log', encryptedLog + '\n');

   注意：密钥最好不要硬编码在代码里，可以通过环境变量或密钥管理服务注入。

以上几种方案各有侧重：GnuPG Logrotate组合适合运维习惯良好的团队；rsyslog适合统一日志架构；应用内加密则适合对加密时机有精细需求的场景。选择时考虑日志量、读取频率和团队协作方式即可。要点就一个——别让明文日志暴露在磁盘上，剩下的都是技术细节。