如何阻止Azure Linux Web App的HTTP日志记录Cookie或控制其范围？

针对你在Azure Linux Web App上部署NodeJS应用时，需要控制HTTP日志中Cookie记录的需求，以下是三种可行方案：

方案1：自定义Nginx配置修改日志格式 #

Azure Linux Web App的HTTP访问日志由前端Nginx代理生成，默认格式包含Cookie。你可以通过自定义Nginx配置调整日志字段：

• 在应用根目录（/home/site/wwwroot）创建nginx.conf文件
• 定义不含Cookie的自定义日志格式，或仅保留指定Cookie：

  # 定义不含Cookie的日志格式
  log_format custom_no_cookie '$remote_addr - $remote_user [$time_local] "$request" '
                              '$status $body_bytes_sent "$http_referer" "$http_user_agent"';
  
  # 定义仅保留特定Cookie（如sessionId）的格式
  log_format custom_specific_cookie '$remote_addr - $remote_user [$time_local] "$request" '
                                    '$status $body_bytes_sent "$http_referer" "$http_user_agent" "sessionId=$cookie_sessionId"';
  

• 在server块中指定使用自定义格式：

  server {
      listen 8080;
      access_log /var/log/nginx/access.log custom_no_cookie; # 替换为你需要的格式名
      # 其他原有配置...
  }
  

• 部署后，Azure会自动加载该配置，覆盖默认日志格式。

方案2：在NodeJS应用层自定义访问日志 #

通过应用日志中间件（如morgan）完全控制日志内容，不依赖平台代理日志：

• 安装依赖：npm install morgan
• 在应用中配置日志格式，按需排除或保留Cookie：

  const express = require('express');
  const morgan = require('morgan');
  const app = express();
  
  // 不记录任何Cookie的日志格式
  morgan.format('no-cookie', ':remote-addr - :remote-user [:date[clf]] ":method :url HTTP/:http-version" :status :res[content-length] ":referrer" ":user-agent"');
  app.use(morgan('no-cookie'));
  
  // 仅记录指定Cookie（如sessionId）的格式
  morgan.format('specific-cookie', ':remote-addr - :remote-user [:date[clf]] ":method :url HTTP/:http-version" :status :res[content-length] ":referrer" ":user-agent" "sessionId=:req[sessionId]"');
  app.use(morgan('specific-cookie'));
  

• 确保诊断设置中开启"应用日志"类别，应用的stdout输出会被自动转发到Log Analytics。

方案3：在Log Analytics中过滤已收集的日志 #

如果日志已被收集到Log Analytics，可通过Kusto查询过滤Cookie内容：

• 移除Cookie字段：

  AppServiceHTTPLogs
  | project-away Cookie
  

• 仅提取特定Cookie值：

  AppServiceHTTPLogs
  | extend TargetCookie = extract(@"your-cookie-name=([^;]+)", 1, Cookie)
  | project TimeGenerated, ClientIP, RequestUrl, TargetCookie
  

注意：方案1需确保Nginx配置符合Azure Web App的runtime要求；方案2需确认应用日志已正确接入诊断系统；方案3属于事后过滤，无法阻止Cookie被收集，但可控制查询时的显示内容。

内容的提问来源于stack exchange，提问作者likeaninja