请求分析
请求分析 把经过网关的 HTTP 请求整理为趋势、性能、来源和安全维度，同时保留逐条日志用于排障。它分析的是网关请求日志，不是登录事件，也不会包含没有进入 HTTP 网关的原始端口连接。
请求分析 通过 分析、日志 和 WAF 日志 页签切换统计、请求明细与防护事件。
启用数据采集
在 系统设置 → 日志 启用网关请求日志并设置保留周期，最少保留 1 天。Go 网关默认在运行目录的 logs 目录按天写入 JSON 结构化文件，后台的 请求分析 页面直接读取这些文件。关闭日志后不会产生新的分析数据；超出保留周期的文件被清理后，也不能再用于历史分析。日志会增加存储和写入开销，请按实际需要设置保留天数。
记录来自127.0.0.1本地回环的日志 默认关闭，因此本机健康检查、同机反代或其他经 127.0.0.1 进入网关的请求通常不会出现在列表中。需要排查本机调用链时再开启；它只改变日志记录范围，不改变回环来源的访问权限。
写入使用异步队列。设置页显示累计丢弃数时，表示队列曾发生拥塞，有些请求没有写入磁盘；该数字不是请求被网关拒绝的数量。网关反代节流直接断开的请求也不会进入访问日志。
容量与滚动保留
在 系统设置 → 日志 设置 每日容量上限、总容量上限 和保留天数。容量以 MiB 填写，总容量不能小于每日容量；超过容量或保留期限时会删除最旧日志并继续记录。调低上限会立即清理已有记录，清理后不可恢复，需要留存的日志应先另行备份。
清理按分片执行，实际保留量可能低于上限；查询和统计只覆盖仍保留的数据。容量占用在加载或保存时更新，不是实时监控。若提示日志已被滚动清理，刷新列表后重新查询；容量或存储异常造成的未写入数量与异步队列丢弃数应分别检查。
修改日志保存目录
在 系统设置 → 日志 填写日志保存目录，或点击 选择文件夹 选择网关可访问的文件夹，再保存。请求分析的日志页也提供 修改日志保存路径 入口。页面分别显示实际目录和默认目录；留空或点击恢复默认后保存，可改回默认位置。
浏览的是网关服务器的文件系统，Docker 中是容器内路径，需先挂载存储。日志目录选择器可浏览静态内容浏览器隐藏的受保护目录，但这不表示这些目录可以公开为静态站点。保存时会校验路径与写入权限，失败后应检查提示并重新读取实际目录。
更换目录不会搬移旧日志；保存后查询、分析和保留期清理只针对当前目录。旧目录需另行保存或清理。内存目录中的日志在重启后会丢失；外置持久化存储可减少内部 FLASH 写入。保存后从外网发起一次请求，确认实际目录和日志列表出现新记录。
使用“分析”页签
可以查看今天、近 7 天或近 30 天的数据。统计按网关时区聚合，最长范围为 30 个连续自然日；如果日志保留天数更短，较早日期自然不会有数据。
顶部指标包含请求数、独立客户端、5xx 错误率、P95 响应时间和出站流量。趋势图对比总请求、4xx 和 5xx；下方可以继续拆分：
- 请求目标：路径、路由、Host 和上游；
- 访问来源：Referrer，以及 UTM 来源、媒介和活动；
- 国家与地区：按去重后的有效客户端 IP 汇总；
- 客户端：设备类型、浏览器和操作系统；
- 响应：状态码、方法和耗时区间；
- 认证与安全：认证决策和 WAF 动作。
地域信息来自 IP 定位缓存。首次查看时可能显示“正在补全”或部分覆盖，可点击地域刷新后稍候再看。分析接口只返回聚合后的国家与省市桶，不会把用于聚合的客户端 IP 列表返回给浏览器。损坏或字段不完整的日志不会计入统计，页面会提示被跳过的数量。
平均值、P95 和错误率适合发现趋势，不等于上游应用的完整性能追踪。发现异常后切换到 日志 页签，用 Host、路径、时间和状态码定位具体请求。
使用“日志”页签
设置 开始日期、结束日期 后点击 应用，可查询最多 30 个连续自然日，结束日期不能晚于服务端今天。访问时间排序 支持 最新在前 和 最早在前。切换 逐条请求 与 按 IP 可查看请求明细或来源聚合；IP 视图统计所选范围内符合筛选的全部已保存请求，并可进入某个 IP 查看同一日期范围内的请求。
只有切回单日范围后才能删除该日的日志，跨日查询不提供整段删除。删除按日期执行，不是只删除当前筛选命中的记录；已经滚动清理或删除的数据无法通过扩大查询范围恢复。
读一条记录
| 字段 | 用途 |
|---|---|
| 客户端 IP / 连接来源 IP | 对比真实访问者与网关实际 TCP 对端，排查 CDN、反代和 Docker 链路 |
| 方法、Host、路径 | 判断请求匹配的是哪个服务 |
| 路由类型、上游目标 | 判断 Host/路径规则是否命中正确目标；静态响应会显示“静态文件”或“静态目录”，且没有上游地址 |
| 认证状态 | 判断是会话、白名单、本地豁免、高级认证临时凭据还是未授权导致的结果 |
| 子域规则组 ID / 临时凭据状态 | 高级认证命中时，确认具体规则组以及当前是单次放行、已签发、已续期还是已复用 |
| 状态码、耗时 | 区分网关拒绝、上游错误和慢响应 |
请求日志可能包含访问路径、Query、来源 IP、User-Agent、认证结果和上游地址，应按敏感运维数据处理。分享排障片段前删除 token、查询参数、内部地址和可识别个人的信息。
静态文件与目录响应由网关直接读取文件系统，因此日志的上游目标为空。路由键仍是业务 Host，Trace ID、认证结果、WAF 动作、状态码和耗时照常记录；服务器绝对路径不会写入请求日志或 WAF 事件。配置和排错见静态文件与目录响应。
推荐排障顺序
- 从外网发起一次可复现请求。
- 查找对应 Host 和路径，确认请求是否到达网关。
- 对照客户端 IP，确认没有把代理地址误当作访问者。
- 检查认证状态和访问策略。
- 再检查上游目标、状态码和应用自身日志。
按 Trace ID 查看全链路
请求日志、WAF 日志、系统事件和通知投递使用同一格式的 Trace ID 串联相关记录。在 请求分析 或 事件中心 点击 Trace ID 查询，也可以直接点击记录中的 Trace ID，进入 全链路追踪 页面。
追踪页按时间展示已找到的请求、WAF 事件、系统事件、通知触发与投递，并分别标记各数据源是已找到、未找到还是暂时不可用。部分数据源不可用时，其他已取得的内容仍会显示。查询不到不等于请求从未发生，也可能是对应日志未启用、记录已过期，或旧记录没有统一 Trace ID。
Trace ID 也可能出现在网关响应头、拦截页或通知中。对外分享前仍应检查同页的 Host、路径、来源 IP、上游地址和通知内容；Trace ID 是关联键，不是脱敏后的公开凭据。
如果日志中完全没有请求，先确认测试流量是否来自 127.0.0.1，以及回环记录开关是否开启。排除本机请求后，问题通常在 DNS、CDN、隧道、路由器或端口暴露之前；不要先修改映射规则。
如果只有部分请求缺失，检查网关节流是否直接断开连接，以及日志设置页是否出现队列丢弃警告。若状态码来自网关而非上游，继续检查认证、可见性、WAF 和映射；若已经显示正确上游 Target，再转到应用自身日志。
专用 Cloudflare 回源入口适用于托管和手动配置的同机 Tunnel。Cloudflare 的 Pseudo IPv4 → Overwrite Headers 会把 IPv6 访客的 CF-Connecting-IP 改写为 240.0.0.0/4 地址；入口会从单值、有效的公网 CF-Connecting-IPv6 恢复真实 IPv6。该 IPv6 头缺失、重复、私网或格式异常时保留 Pseudo IPv4，不信任其他转发头。若日志仍显示 Class E 地址，核对专用回源地址和两个请求头，或将 Pseudo IPv4 设为 Off / Add Header；不要把该网段加入白名单。
启用子域高级认证后，鉴权结果 子域规则放行 表示请求由高级认证通过。详情中的规则组 ID 可定位触发配置；凭据状态为 单次请求放行 表示本次请求命中规则但没有创建持久凭据，常见于首次 Cookie 探测、不保存 Cookie 的客户端、WebSocket 升级或持久化降级；已签发 表示本次创建持久凭据，已续期 表示刷新空闲有效期，已复用 表示继续使用现有凭据。规则行为见子域高级认证。
处理可疑 IP
可在单条请求或 IP 聚合行中确认后将来源加入通用黑名单，也可解除已有黑名单；选择当前页或多条记录后可批量操作。操作前先核对客户端 IP 与连接来源 IP，排除共享出口、CDN 和前置代理地址，并保留时间、Host、路径等上下文。