怎么利用 Nginx 内置的 $body_bytes_sent 变量取代全局大日志审计来轻量化网络层吞吐统计模型

$ body_bytes_sent 是 Nginx 内建变量，精准统计实际写入 socket 的响应体字节数（不含 header、空响应、重定向），支持 gzip/chunked，天然准确、零 I/O 开销，适合作为网络吞吐建模核心指标。

直接用 $body_bytes_sent 做吞吐统计，本质是绕过日志解析，把统计逻辑下沉到 Nginx 请求生命周期末尾——它在响应体真正发出后才被赋值，天然具备准确性与时效性，且零额外 I/O 开销。

只统计有效响应体字节数，跳过 header 和错误响应干扰

$body_bytes_sent 仅记录实际写入 socket 的响应体字节数（不含响应头、重定向 location、空响应等）。这对吞吐建模很关键：

• 4xx/5xx 错误响应若无 body（如 404 默认页未启用），该变量为 0，自动剔除无效流量
• 301/302 重定向若仅含 header 无 body，同样记为 0，避免把跳转当下载量
• 静态文件、API JSON、流式响应（如 chunked）均如实反映真实下行量

用 log_format + map 构建轻量级分维度吞吐标签

不依赖外部日志分析系统，直接在 Nginx 内完成初步聚合维度标记：

map $status $is_api { default 0; ~^[23]0[0-9] 1; }map $request_uri $route_type {  ~^/api/v1/users  users;  ~^/api/v1/orders orders;  ~^/static/       static;  default          other;}log_format throughput '$remote_addr|$time_iso8601|$route_type|$is_api|$body_bytes_sent';

这样每行日志已自带路由分类、是否成功、字节数三元组，后续用 awk / prometheus nginx-exporter 等工具按秒聚合 sum($body_bytes_sent) 即得各维度实时吞吐，无需解析原始 access.log 中的完整 request/response 字段。

配合 stub_status 或自定义 metrics endpoint 实现秒级监控闭环

开启 stub_status 只能看总量，但可结合 $body_bytes_sent 在自定义 location 中暴露滚动窗口吞吐：

split_clients "${remote_addr}${msec}" $sample_flag {  10% .sample;  *   "";}# 每 10% 流量采样写入共享内存 zonelog_format sample_log '$body_bytes_sent';access_log memcached:shared_zone=throughput:1m sample_log if=$sample_flag;

再用 Lua 或 OpenResty 从 shared memory 实时读取最近 60 秒的 $body_bytes_sent 总和，通过 /metrics 接口暴露为 Prometheus counter。整个链路无磁盘日志、无文本解析、无外部依赖。

注意边界：$body_bytes_sent 不等于 Content-Length

它反映真实发出字节数，与响应头中 Content-Length 可能不一致：

• Gzip 启用时，$body_bytes_sent 是压缩后字节数，更贴近网络层真实负载
• Transfer-Encoding: chunked 场景下，它累计所有 chunk payload，不含 chunk header
• 如果 upstream 返回了 Content-Length 但实际发送更少（如超时截断），该变量仍准确反映已发量

因此它比解析日志里 Content-Length 字段更适合做网络吞吐建模——你关心的是“线上到底发了多少”，而不是“理论上该发多少”。