Java程序在Linux下的日志管理指南
先说几个核心判断：日志管理这件事，选对框架、配好格式、用好系统工具，基本就能解决80%的问题。剩下的20%是分布式场景下的集中收集和自动化监控，但基础打牢了，后面自然水到渠成。
一、选择合适的日志框架
Java生态里日志框架不少，但真正能打的就那么几组。行业里最稳的组合是：SLF4J（日志门面）搭配 Logback 或 Log4j2 作为实现。SLF4J 提供统一API，业务代码只与门面交互，底层切换实现无需改动代码。Logback 是 SLF4J 的原生实现，性能比老版的 Log4j 1.x 明显提升，且天然支持异步日志和动态配置，非常适配生产环境。Log4j2 则是 Log4j 的完全重写版，吞吐量和扩展性都很强，如果团队对异步性能有极致要求，选它也没问题。至于 JCL（Jakarta Commons Logging），它的类加载机制容易引发兼容性问题，建议尽量避免。
二、配置日志输出与格式
1. 基础配置方法
配置其实不复杂，关键是把几个核心参数想清楚：日志写到哪里、按什么规则滚动、保留多久、用什么格式。
Logback 配置：在 src/main/resources 下创建 logback.xml，设置日志级别、输出目标（控制台或文件）以及格式。下面这个例子是把日志输出到文件，按文件大小（10MB）和时间（每日）双重触发滚动，最多保留10个备份文件，并且使用JSON格式，方便后续接入日志分析平台：
/var/log/myapp.log
/var/log/myapp.%d{yyyy-MM-dd}.log.gz
10
[“是”, “%d{yyyy-MM-dd HH:mm:ss} [%thread] %-5level %logger{36} - %msg%n”, “%msg%n”]
Log4j2 配置：在 log4j2.xml 里做类似配置，同时可以开启 AsyncAppender 来提升性能：
2. 日志级别规范
级别配置要分环境。开发环境可以放得很宽，直接用 DEBUG 输出所有细节，方便排查问题。生产环境就必须收紧，一般只保留 INFO 及以上，异常场景才用 ERROR 记录完整堆栈。这里必须强调：生产环境千万别开 DEBUG 级别，否则日志量瞬间暴涨，I/O 开销直接拖垮应用。
三、日志轮转与归档
日志文件如果不控制，磁盘迟早会被撑爆。Linux 自带的 logrotate 工具就是干这个的。创建一个配置文件 /etc/logrotate.d/myapp，指定日志路径、轮转策略、保留天数、压缩方式：
/var/log/myapp.log {
daily
rotate 7
compress
missingok
notifempty
create 640 root adm
}这里设置的是每天轮转一次，保留最近7天的日志，旧日志自动压缩，如果文件不存在不报错，并且轮转后自动创建一个新文件，权限设为640。配合 cron，每天自动执行，省心省力。
四、日志查看与检索
Linux 下的命令行工具足够日常使用：实时跟踪日志用 tail -f /var/log/myapp.log，想看最新几行内容非常方便。搜索错误信息用 grep "ERROR" /var/log/myapp.log，可以结合 tail -f | grep 实时过滤。大文件分页浏览用 less /var/log/myapp.log，支持上下翻页和搜索。如果应用是通过 systemd 管理的，直接用 journalctl -u myapp.service 查看服务日志，还能按时间、级别筛选，比直接看文件更灵活。
五、集中式日志管理
单机场景下上面那些就够了，但一旦进入微服务集群，日志分散在多台机器上，必须用集中式方案。目前最流行的是 ELK Stack（Elasticsearch + Logstash + Kibana）和 Graylog。ELK 的套路是：Filebeat 从各节点收集日志，发送给 Logstash 做过滤和格式化，然后存入 Elasticsearch 进行索引，最后通过 Kibana 做可视化展示，可以绘制趋势图、异常统计，甚至做全文本搜索。Graylog 则是另一种选择，它把收集、搜索、告警都打包在同一个 Web 界面里，上手更快，适合中小规模团队。
六、自动化与监控
最后一步是把日志管理变成自动化流程。可以写一些 Bash 或 Python 脚本，定期压缩备份、删除过期日志，然后配合 cron 定时执行。监控层面，用 Prometheus 采集日志指标（比如每分钟错误日志数量），Grafana 展示面板，设置告警规则——比如1分钟内出现10次 ERROR，就通过邮件或 Slack 通知相关负责人。这样日志系统就不再只是事后排查的工具，而是变成实时预警的哨兵。
