Linux syslog的日志格式自定义

在Linux系统中，syslog日志格式可以通过修改/etc/rsyslog.conf或/etc/rsyslog.d/目录下的配置文件来自定义。以下是自定义syslog日志格式的步骤：

1. 打开配置文件： 使用文本编辑器（如vim、nano等）打开/etc/rsyslog.conf文件或/etc/rsyslog.d/目录下的配置文件。例如，使用vim编辑器打开/etc/rsyslog.conf文件：

   sudo vim /etc/rsyslog.conf
   

2. 定义自定义日志格式： 在配置文件中，找到或添加一个模板（template）定义，用于指定自定义日志格式。例如，创建一个名为MY_CUSTOM_FORMAT的模板：

   $template MY_CUSTOM_FORMAT, "%timegenerated% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%\n"
   

   这里，%timegenerated%表示时间戳，%syslogtag%表示程序名称，%msg:::sp-if-no-1st-sp%表示消息内容（去除前导空格），%msg:::drop-last-lf%表示去除消息末尾的换行符。

3. 应用自定义日志格式： 在配置文件中，找到或添加一个规则（rule），将自定义日志格式应用于特定的日志记录。例如，将自定义日志格式应用于所有来自authpriv设施的日志：

   if $programname == 'authpriv' then /var/log/authpriv_custom.log;MY_CUSTOM_FORMAT
   & stop
   

   这里，if $programname == 'authpriv' then /var/log/authpriv_custom.log;MY_CUSTOM_FORMAT表示将来自authpriv设施的日志记录到/var/log/authpriv_custom.log文件，并使用MY_CUSTOM_FORMAT格式。& stop表示停止进一步处理这些日志记录。

4. 保存并退出配置文件。

5. 重启rsyslog服务： 为了使更改生效，需要重启rsyslog服务。在终端中执行以下命令：

   sudo systemctl restart rsyslog
   

   或者

   sudo service rsyslog restart
   

现在，syslog日志将按照自定义的格式进行记录。在本例中，来自authpriv设施的日志将被记录到/var/log/authpriv_custom.log文件中，并使用自定义的日志格式。