Linux syslog的日志格式自定義

在linux系統中，syslog日志格式可以通過修改/etc/rsyslog.conf或/etc/rsyslog.d/目錄下的配置文件來自定義。以下是自定義syslog日志格式的步驟：

1. 打開配置文件： 使用文本編輯器（如vim、nano等）打開/etc/rsyslog.conf文件或/etc/rsyslog.d/目錄下的配置文件。例如，使用vim編輯器打開/etc/rsyslog.conf文件：

   sudo vim /etc/rsyslog.conf 

2. 定義自定義日志格式： 在配置文件中，找到或添加一個模板（template）定義，用于指定自定義日志格式。例如，創建一個名為MY_CUSTOM_FORMAT的模板：

   $template MY_CUSTOM_FORMAT, "%timegenerated% %syslogtag%%msg:::sp-if-no-1st-sp%%msg:::drop-last-lf%n" 

   這里，%timegenerated%表示時間戳，%syslogtag%表示程序名稱，%msg:::sp-if-no-1st-sp%表示消息內容（去除前導空格），%msg:::drop-last-lf%表示去除消息末尾的換行符。

3. 應用自定義日志格式： 在配置文件中，找到或添加一個規則（rule），將自定義日志格式應用于特定的日志記錄。例如，將自定義日志格式應用于所有來自authpriv設施的日志：

   if $programname == 'authpriv' then /var/log/authpriv_custom.log;MY_CUSTOM_FORMAT & stop 

   這里，if $programname == ‘authpriv’ then /var/log/authpriv_custom.log;MY_CUSTOM_FORMAT表示將來自authpriv設施的日志記錄到/var/log/authpriv_custom.log文件，并使用MY_CUSTOM_FORMAT格式。& stop表示停止進一步處理這些日志記錄。

4. 保存并退出配置文件。

5. 重啟rsyslog服務： 為了使更改生效，需要重啟rsyslog服務。在終端中執行以下命令：

   sudo systemctl restart rsyslog 

   或者

   sudo service rsyslog restart 

現在，syslog日志將按照自定義的格式進行記錄。在本例中，來自authpriv設施的日志將被記錄到/var/log/authpriv_custom.log文件中，并使用自定義的日志格式。