Web日志
凌晨两点十七分，我盯着终端里滚动的日志文件，一条404记录跳了出来。来自巴西圣保罗的IP，试图访问`/wp-admin`目录下的一个不存在的PHP文件。这已经是今晚第47次了，同一个IP，不同的路径，像贼在试探门锁。
Web日志这东西，说白了就是服务器在纸面上留下的脚印。每一行都是某个陌生人或爬虫或攻击者留下的指纹。Apache的access.log格式固定得近乎刻板——IP、时间、请求方法、状态码、字节数。但正是在这刻板里，藏着最真实的互联网生态。我见过凌晨三点来自韩国的批量扫描，见过硅谷公司IP对某个API接口的疯狂轮询，也见过一个乌克兰IP在404页面停留了整整十一分钟——那大概是个活人，在手动翻找什么。
状态码是日志里最有性格的部分。200代表顺遂，302是拐弯，404是碰壁，500是服务器在内部吐血。我常把500错误比作厨师炒菜时锅着了——日志里只记着“菜糊了”，却不记着是哪个环节烧起来的。有一次，一个支付回调接口连续返回502，日志里时间戳精确到秒，但错误堆栈却指向一个早已移除的缓存类。折腾了三个小时，最后发现是运维在凌晨升级了负载均衡器，把旧证书路径写进了配置。日志不会撒谎，但日志也不会主动告诉你真相。
有时候，日志比用户更诚实。用户说“页面打不开”，日志显示他访问的是`/index.html`，但服务器上那个文件三天前就被改名为`home.html`了。用户不会说谎，但日志记录了更微妙的细节——他先访问了首页，然后点了某个过期的收藏链接，最后在404页面上停留了两秒就关了。这比任何用户调研都真实。我甚至能通过日志里的User-Agent判断出对方是用手机上的微信内置浏览器还是Chrome——前者会暴露一些奇怪的兼容性问题，后者则相对干净。
日志量大了之后，看日志就成了体力活。每天几十GB的文本，grep一下都要等半天。后来我学会了用awk按状态码分组，用sort和uniq统计攻击来源。但真正让我着迷的，是那些异常中的规律——比如每周五下午的流量曲线总会有个小凸起，后来发现是某个老用户习惯性在周五补交周报。日志里的规律像极了人身上的习惯性动作，不刻意，但真实。
最难受的是日志被清空。磁盘满了，logrotate自动轮转，旧的日志被压缩成.gz文件，再后来就被删了。那些数据就像被橡皮擦抹掉的铅笔字，痕迹还在，但内容已不可读。有一次我需要追查一个月前的异常请求，翻遍所有备份，只找到一条模糊的记录——时间戳对得上，但请求体已经被截断。那种感觉像在破案时发现关键证物被雨水泡烂了。
说到底，Web日志就是互联网的日记本。它不评价，不总结，只是忠实地记下每一次点击、每一次失败、每一次来自陌生角落的试探。读日志久了，你会产生一种奇怪的共情——那些扫描器不是恶意的，它们只是程序在按部就班地执行任务；那些404不是错误，它们只是路径不存在时的正常回应。真正需要警惕的，是那些看起来完全正常、却频繁出现的请求模式——那往往意味着有人在系统性地收集信息，准备干点什么。
现在，我又看了一眼今天的日志。凌晨的扫描还在继续，巴西的IP换成了俄罗斯的。我关掉终端，屏幕暗下去，那些数字和符号暂时退场。但明天早上，新的日志会继续生成，像海水一样，涨上来，又退下去。而我还会在这里，一行一行地读下去，试图从那些看似枯燥的记录里，拼凑出互联网每时每刻都在发生的、真实的故事。