CentOS环境下Java日志的清理策略

CentOS环境下Ja va日志清理策略

直接说结论：日志清理不是靠某一个工具包打天下，而是需要一套组合拳。理想的做法是“应用内搞定滚动，系统层做好兜底，必要时再接入集中化分析平台”。这样既不会因为某个环节失控导致磁盘爆满，也方便后期回溯问题。

一 策略总览与优先级

整个策略的核心思路，其实可以拆成这么几层：在应用层、系统层、集中层分别做好各自该做的事。优先级上，最推荐的做法是把滚动的逻辑写在应用代码里——Logback或Log4j2的配置离日志产生点最近，最可控。然后是系统级的logrotate，它可以作为统一运维的兜底方案，对应用日志目录做统一轮转、压缩和过期清理。再往下，systemd-journald的日志要单独管，它和Ja va应用的文件日志是两条线，别混在一起。最后，如果真的有长期留存或跨节点检索的需求，可以接入Logstash、Elasticsearch、Kibana这套栈，集中存储并按策略删除旧索引。

二 应用内日志框架的滚动与保留

先说Logback。这是Ja va生态里最常用、也最灵活的日志框架之一。配合SizeAndTimeBasedRollingPolicy，可以同时按时间和大小滚动，还能设置总容量上限，防止日志无节制膨胀。来看一个典型的配置：

    
        logs/app.log
        
            %d{yyyy-MM-dd HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %m%n
        
        
            logs/app-%d{yyyy-MM-dd}.%i.log
            10MB
            30
            1GB
        
    
    
        
    

需要指出的是，fileNamePattern里的日期格式一定要精确到yyyy-MM-dd，否则跨天滚动时会产生多余的文件。如果业务场景只需要按天保留，其实可以去掉SizeBasedTriggeringPolicy这个条件，只保留时间策略并设置maxHistory就行。

再看Log4j2。它的玩法也类似，基于大小的触发策略加上保留文件数控制：

    
        
            
                %d{yyyy-MM-dd HH:mm:ss.SSS} [%t] %-5level %logger{36} - %m%n
            
            
                
            
            
        
    
    
        
            
        
    

三 系统级 logrotate 统一轮转与清理

应用内的配置再完善，也保不齐哪天出现异常流量把日志写爆。这时候就需要系统级的logrotate来兜底。它的配置很直观，直接创建一个应用专属配置，比如放在/etc/logrotate.d/ja va-app：

/var/log/ja va-app/*.log {
    daily
    rotate 30
    compress
    missingok
    notifempty
    create 640 appuser appgroup
    copytruncate
}

讲几个关键参数。daily表示每天轮转一次，rotate 30保留最近30份，compress对旧日志进行压缩。missingok和notifempty这两个是避免文件不存在或为空时死循环报错。create设定新文件的权限和属主。最值得注意的是copytruncate这个选项——它采用复制后截断原文件的方式，对不支持信号滚动的Ja va进程非常友好，不需要重启应用。当然，如果应用支持通过信号量让日志框架重新打开文件，也可以改成postrotate配合kill -USR1的方式。

配置完成后，可以用logrotate -d /etc/logrotate.d/ja va-app做语法检查，logrotate -f /etc/logrotate.d/ja va-app强制执行一次。logrotate本身由cron每日触发，不需要额外reload。

四 systemd 与 journald 日志管理

Ja va应用日志和systemd的日志是两条线，千万别混为一谈。systemd自带的日志系统journald，如果不做管理，也可能吃掉不少磁盘空间。清理命令很直接：

• 只保留最近一周的日志：journalctl --vacuum-time=1w
• 只保留最近500MB的日志：journalctl --vacuum-size=500M

如果启用了持久化（即/var/log/journal目录存在），journald自身的空间占用也需要单独规划，和Ja va应用的文件日志分开管理。

五 集中化归档与清理示例

当应用规模大到一定地步，本地日志就不够看了。这时候可以引入Logstash、Elasticsearch和Kibana的经典组合。Logstash负责采集、解析日志，Elasticsearch负责存储和检索，Kibana提供界面。一个简单的Logstash采集配置长这样：

input {
    file {
        path => "/var/log/ja va-app/*.log"
        start_position => "beginning"
    }
}
filter {
    grok {
        match => { "message" => "%{COMBINEDAPACHELOG}" }
    }
}
output {
    elasticsearch {
        hosts => ["localhost:9200"]
        index => "ja va-logs-%{+YYYY.MM.dd}"
    }
}

长期运行的ES集群，索引不管理迟早会爆。所以重点在于配合Index Lifecycle Management或Curator设置一个保留策略，比如超过30天的索引自动删除。这才是可持续的集中化方案。