Logback SyslogAppender 静默问题分析与解决方案

问题现象

在使用 Logback 的 SyslogAppender 时，开发者发现 INFO 级别的日志有时无法正常输出到 syslog 服务器，而 ERROR 级别的日志可以正常记录。通过 ConsoleAppender 和 RollingFileAppender 测试则表现正常。

问题本质

经过深入排查，发现问题的根源并不在 Logback 本身，而是 syslog 服务器端的配置问题。具体原因是 rsyslog 的 RepeatedMsgReduction 参数被设置为开启状态。

技术背景

RepeatedMsgReduction 是 rsyslog 的一个重要配置选项，当设置为 on 时，系统会自动抑制连续重复的日志消息。这种设计主要用于：

1. 避免日志文件被大量重复消息淹没
2. 减少磁盘 I/O 和存储空间占用
3. 提高日志分析效率

问题复现条件

当满足以下条件时会出现该现象：

1. 连续发送内容完全相同的日志消息
2. rsyslog 配置中开启了 RepeatedMsgReduction
3. 日志级别为 INFO 等非 ERROR 级别（因为 ERROR 通常会被视为重要消息而不会被抑制）

解决方案

有以下几种解决方法：

方案一：修改 rsyslog 配置

在 rsyslog.conf 文件中添加或修改：

$RepeatedMsgReduction off

然后重启 rsyslog 服务。

方案二：确保日志消息唯一性

在日志消息中加入可变信息，如：

logger.info("Processing request - ID: {}", UUID.randomUUID());

方案三：调整日志级别策略

对于需要确保送达的关键日志，使用 WARN 或 ERROR 级别。

最佳实践建议

1. 生产环境中建议保持 RepeatedMsgReduction 开启，但需要：
   • 在应用程序中确保关键日志包含唯一标识
   • 对必须记录的重复消息添加时间戳等可变信息
2. 开发环境可以关闭该选项以便调试
3. 重要业务日志建议使用 WARN 及以上级别

总结

这个问题展示了日志系统中客户端与服务器端配置需要协调工作的重要性。作为开发者，不仅要确保日志客户端的正确配置，还需要了解日志收集系统的各种特性。通过这次问题排查，我们也学习到了 rsyslog 的消息抑制机制及其应用场景。

对于 Logback 用户来说，当遇到 syslog 日志丢失时，应该首先检查：

1. 网络连通性
2. syslog 服务器配置
3. 消息重复性
4. 日志级别设置