一条上网日志的字段清单：缺一项就溯不到人

讨论日志留存时，话题常被"存多久"占满，另一个更前置的问题反而没人问：存下来的那条记录里到底有什么字段。周期再长，字段缺一项，这条记录就失去了追溯价值。176 号令第七条重点检查的正是"是否依法记录并留存用户注册信息和上网日志信息"——记录和留存是并列的两个要求。

一、先分清两种日志：认证记录与行为日志

很多场所的日志系统只做了一半。

认证记录回答"谁通过了认证"，行为日志回答"这个人上网期间访问了什么"。

检查要的是两者能对应上——只有认证记录，无法还原行为；只有行为记录，无法定位到人。

云日审侧的做法是会话 ID 与行为日志在云端关联，靠的就是把这两类记录接到同一条会话上。

二、六类字段，逐项说清楚

云日审留存的日志字段包括：手机号或证件号、终端 MAC、终端 IP、上线时间、访问 URL、上下行流量。各自的作用不一样：

手机号 / 证件号：把行为归属到具体自然人，是四元组里的账号标识；

端 MAC：区分同一账号下的多台设备，也用于识别更换终端的情况；

终端 IP：还原当时的网络位置，配合上线时间才能定位占用区间；

上线时间：所有时间区间判断的基准，也决定留存周期从哪一刻起算；

访问 URL：行为内容本身，是还原上网过程的核心字段；

上下行流量：判断访问是否真实发生，以及流量规模是否异常。

六项里最容易被裁掉的是访问 URL 与流量——理由通常是"数据量太大"。裁掉这两项，日志就只剩一串登录记录，检查时能证明"这个人认证过"，证明不了"他上网做了什么"。

三、哪几项最容易缺，为什么

按现场经验排序，缺项率最高的是三项。
证件号缺失：只采集手机号，外籍与港澳台客人走证件通道时没有对应字段，导致这部分认证记录无法进四元组。
MAC 缺失：终端换机或系统升级后采集失效，表现为同一账号下多台设备的记录混在一起。其
访问 URL 截断：只留域名不留路径，还原不出具体访问对象。

三项缺了不会报错，日志照常产生、报表照常出数，只有真正要追溯时才发现用不了。

四、字段完整性怎么验

不建议等检查时才验。可行的做法有两条：

一是抽样回溯，随机取一个手机号，调出该账号在指定时间段内的完整行为清单，逐项核对其中的字段是否齐全；

二是空值率统计，对周期内日志按字段统计空值比例，任一关键字段空值率异常即视为采集异常。

验收时把这两条写进测试项，比看一份"日志留存功能正常"的结论有用得多。

五、云端关联之后，字段采集的位置变了

运营商组网的场所，日志字段的采集与留存由云日审承担，场所本地不部署日志服务器。这一点直接影响字段完整性的责任界面：采集在插件侧、汇聚与关联在云端，两端都要确认字段没有在中途被裁剪。

自建网络的场所，字段采集与留存落在智慧光迅通密一体方案的梦想网关上，本地留存周期与字段口径一致。两种场景可以共用同一份字段清单做验收，只是承载位置不同。

FAQ

Q1：上网日志至少要包含哪些字段？

A1：至少应包含用户标识（手机号或证件号）、终端 MAC、终端 IP、上线时间、访问 URL、上下行流量，并与认证记录通过会话 ID 关联。

Q2：只留存认证记录、不留存访问行为可以吗？

A2：不够。176 号令第七条检查的是用户注册信息和上网日志信息两类，缺少行为日志无法还原上网过程，也难以支撑追溯。

Q3：日志字段可以为了节省存储而精简吗？

A3：不建议精简访问 URL 与流量字段。裁掉后日志只剩登录记录，能证明认证发生过，证明不了上网行为内容。