PowerShell日志脚本异常：无法捕获含ERROR的WAF拦截记录

1. 验证日志筛选逻辑准确性 #

• 先单独测试核心筛选规则，确认日志中存在符合条件的行：

  Get-Content "你的日志文件路径" | Where-Object { $_ -match "ERROR" -and $_ -match "Exception during file creation" }
  

  如果返回空，说明要么日志里没有目标行，要么筛选条件有误：
  • 检查两个关键词的顺序是否和日志行一致，比如是否应该用"Exception during file creation.*ERROR"
  • 若日志区分大小写，需添加-cmatch替代-match

2. 检查回溯匹配逻辑的有效性 #

• 确认ERROR行和上传记录之间有唯一关联标识（比如请求ID、文档UUID），没有标识的话回溯逻辑无法精准匹配
• 限制回溯的行数是否合理：比如脚本只向上查10行，但实际上传记录在更早的位置，需调整回溯的范围上限
• 单独测试回溯逻辑：找到一条已知的ERROR行，手动向上定位对应上传记录，对比脚本中的遍历规则是否一致

3. 排查数组操作的正确性 #

• 确保数组初始化正确：必须用$ListeDocumentsWAF = @()，避免未初始化或循环中被覆盖为空
• 检查数组添加元素的语法：需用$ListeDocumentsWAF += $提取的对象，而非每次循环重新赋值为空数组

4. 确认日志读取的完整性 #

• 若日志文件过大，避免直接用Get-Content读取全部内容（会占用大量内存），改用逐行流式处理：

  $reader = [System.IO.File]::OpenText("你的日志文件路径")
  while ($null -ne ($line = $reader.ReadLine())) {
      # 逐行处理逻辑
  }
  $reader.Close()
  

• 验证日志路径是否正确、当前用户是否有读取权限：

  Test-Path "你的日志文件路径"
  Get-Acl "你的日志文件路径" | Select-Object Owner, AccessToString
  

核心逻辑修复示例 #

# 初始化数组
$ListeDocumentsWAF = @()
$logPath = "C:\Logs\app-waf.log"

# 读取日志并缓存所有行（小文件适用）
$allLogLines = Get-Content $logPath

# 遍历所有符合条件的错误行
foreach ($errorLine in $allLogLines | Where-Object { $_ -match "ERROR" -and $_ -match "Exception during file creation" }) {
    $errorIndex = [array]::IndexOf($allLogLines, $errorLine)
    # 向上回溯最多30行查找上传记录（根据实际日志调整行数）
    for ($i = $errorIndex - 1; $i -ge [math]::Max(0, $errorIndex - 30); $i--) {
        $currentLine = $allLogLines[$i]
        # 假设上传记录格式为："Document upload: [文件名] - RequestID: [ID]"
        if ($currentLine -match "Document upload: (\S+) - RequestID: (\w+)") {
            $docRecord = [PSCustomObject]@{
                文件名    = $matches[1]
                请求ID    = $matches[2]
                错误详情  = $errorLine
            }
            $ListeDocumentsWAF += $docRecord
            break # 找到匹配项后停止回溯
        }
    }
}

# 后续邮件发送逻辑
if ($ListeDocumentsWAF.Count -eq 0) {
    Write-Host "Le tableau ListeDocumentsWAF est vide."
} else {
    # 替换为你的邮件配置
    Send-MailMessage -To "team-alerts@domain.com" -From "waf-alerts@domain.com" `
        -Subject "WAF拦截文档告警" -Body ($ListeDocumentsWAF | ConvertTo-Html) `
        -BodyAsHtml -SmtpServer "smtp.domain.com"
}

内容的提问来源于stack exchange，提问作者Flankenzi