AI中转站日志审计追踪调用记录：AI中转站日志审计这样设置

什么时候需要审计AI中转站的调用记录

当你的AI中转站（例如自建的API代理服务）每天有成百上千次请求时，日志审计就成了排查异常、监控成本和追踪滥用行为的关键手段。日志审计能记录谁、在什么时间、调用了哪个模型、消耗了多少Token，甚至返回的状态码。
本文会把开启日志、查看记录、排错验证的整套流程拆开讲清楚，哪怕你之前没碰过服务器也能跟着做。

第一步：确认AI中转站的日志开关

大部分AI中转站（如常见的开源代理程序）默认不开启详细访问日志，或者只记录错误。
你需要先找到日志相关配置。
通常有两个位置：

1. 环境变量：在启动命令或 Docker 的 -e 参数里检查 LOG_LEVEL 是否设为 info 或 debug，以及 ACCESS_LOG 是否启用（例如 ACCESS_LOG=true）。
2. 配置文件：如果是直接运行的程序，查看 config.json 或 .env 文件，找到类似 log.enable、audit_log 的字段。

如果找不到，可以搜索程序目录下是否有 logs/ 文件夹，或者执行以下命令查看当前运行状态（以 Docker 为例）：

docker logs 你的容器名 2>&1 | grep -i "log level"

如果没有输出，说明日志级别可能未设置。
下面以修改环境变量的方式为例，展示如何开启详细日志。

第二步：开启日志并记录每次调用

假设你的中转站使用 Docker Compose 部署，编辑 docker-compose.yml，在服务段添加或修改环境变量：

environment:
  - LOG_LEVEL=info
  - ACCESS_LOG=true
  - AUDIT_LOG=true    # 部分程序支持审计日志专用开关

保存后执行：

docker-compose down && docker-compose up -d

如果程序直接运行在有面板的服务器（如宝塔），找到进程管理里的配置文件，添加相同变量后重启进程。

关键点：重启后务必检查新日志是否生成。
可以进入日志目录：

cd /path/to/your/logs
ls -lh access.log  # 确认 access.log 存在且大小变化

第三步：从日志中定位具体调用记录

开启日志后，每次API请求都会在 access.log 或 audit.log 中留下类似这样的行：

2025-03-20 14:23:45 [INFO] 192.168.1.100 POST /v1/chat/completions 200 0.345s tokens: 150/300 user: test@example.com model: gpt-3.5-turbo

你可以用 grep 快速筛选：

# 查看某个用户的所有调用
grep "user: test@example.com" access.log

# 查看最近10分钟内的记录
awk '$0 >= "2025-03-20 14:13:00" && $0 <= "2025-03-20 14:23:59"' access.log

# 统计每个模型的调用次数
awk '{print $NF}' access.log | sort | uniq -c | sort -nr

避坑提醒：日志文件默认按天轮转，如果日志量过大，建议配置 logrotate 自动压缩和清理，否则磁盘可能被写满。
配置示例：

/path/to/logs/access.log {
    daily
    rotate 30
    compress
    missingok
    notifempty
    create 0644 root root
}

第四步：确认日志审计生效的验证方法

完成上述配置后，做一次真实的API调用测试来验证。
你可以用 curl 模拟一次请求（替换为你的中转站地址和密钥）：

curl -X POST https://你的域名/v1/chat/completions \
  -H "Authorization: Bearer sk-your-key" \
  -H "Content-Type: application/json" \
  -d '{"model": "gpt-3.5-turbo", "messages": [{"role": "user", "content": "Hello"}]}'

请求完成后，立即查看日志文件尾部：

tail -n 5 /path/to/logs/access.log

如果看到对应请求的完整记录（含响应时间和Token消耗），说明审计已成功开启。

常见问题解答

Q：开启日志后程序响应变慢了？
A：日志写入本身有轻微性能开销，但通常可忽略。如果压力极大，可将日志级别设为 warn 仅记录错误，或使用异步日志。

Q：为什么找不到 access.log？
A：先确认程序是否有 logs/ 目录，如果没有则需要创建，并确保运行用户有写权限。检查环境变量是否生效。

Q：日志里没有用户标识（user）？
A：部分中转站需要额外开启“用户认证审计”功能，或通过 X-User-Id 等请求头传递，请查阅你所用程序的文档。

如果按本文操作后仍无法完成追踪调用记录，请先检查重启是否成功，再逐项核对环境变量名称拼写。
日志审计一旦跑起来，排查问题会高效很多。