如何用C#实时获取IIS日志并推送至其他服务器

可行性确认 #

完全可以实现IIS日志文件存储的同时，用C#实时抓取并推送日志。以下是具体实现步骤和关键技术点：

核心实现思路 #

1. 监控IIS日志目录 #

IIS默认日志路径通常为C:\inetpub\logs\LogFiles\W3SVC{站点ID}，先确认目标站点的日志目录。使用C#的FileSystemWatcher组件可实时监听目录下的文件创建、内容新增事件：

var watcher = new FileSystemWatcher
{
    Path = @"C:\inetpub\logs\LogFiles\W3SVC1",
    Filter = "*.log",
    NotifyFilter = NotifyFilters.LastWrite | NotifyFilters.FileName,
    EnableRaisingEvents = true
};
watcher.Created += OnLogFileCreated;
watcher.Changed += OnLogFileChanged;

2. 读取日志新增内容 #

IIS会持续写入当前日志文件，需记录每次读取的位置，下次仅读取新增部分，避免重复读取：

private static Dictionary<string, long> _filePositions = new Dictionary<string, long>();

private static void OnLogFileChanged(object sender, FileSystemEventArgs e)
{
    if (!_filePositions.ContainsKey(e.FullPath))
        _filePositions[e.FullPath] = 0;

    using (var fs = new FileStream(e.FullPath, FileMode.Open, FileAccess.Read, FileShare.ReadWrite))
    {
        fs.Seek(_filePositions[e.FullPath], SeekOrigin.Begin);
        using (var reader = new StreamReader(fs))
        {
            string line;
            while ((line = reader.ReadLine()) != null)
            {
                ProcessLogLine(line);
            }
            _filePositions[e.FullPath] = fs.Position;
        }
    }
}

3. 日志解析与Syslog推送 #

IIS日志默认采用W3C格式，每条日志包含日期、客户端IP、请求路径等字段。需处理带引号的字段分割逻辑，再按Syslog协议（遵循RFC 5424标准）推送：

private static void ProcessLogLine(string logLine)
{
    // 跳过日志头（#开头的行）
    if (logLine.StartsWith("#")) return;

    var fields = SplitLogLine(logLine);
    // 构造Syslog消息，优先级、时间戳等可根据需求调整
    var syslogMessage = $"<134>1 {DateTime.UtcNow:yyyy-MM-ddTHH:mm:ss.fffZ} {Environment.MachineName} IIS-Log - - - {logLine}";
    
    // UDP方式推送至Syslog服务器（端口默认514）
    using (var udpClient = new UdpClient("syslog-server-ip", 514))
    {
        var data = Encoding.ASCII.GetBytes(syslogMessage);
        udpClient.Send(data, data.Length);
    }
}

// 处理带引号的字段分割，避免拆分引号内的空格
private static string[] SplitLogLine(string line)
{
    var result = new List<string>();
    var inQuotes = false;
    var current = new StringBuilder();

    foreach (var c in line)
    {
        if (c == '"')
        {
            inQuotes = !inQuotes;
        }
        else if (c == ' ' && !inQuotes)
        {
            result.Add(current.ToString());
            current.Clear();
        }
        else
        {
            current.Append(c);
        }
    }
    result.Add(current.ToString());
    return result.ToArray();
}

4. 稳定性优化要点 #

• 处理日志滚动：IIS会按日期或大小生成新日志文件，通过FileSystemWatcher的Created事件捕获新文件，初始化读取位置。
• 持久化读取位置：将每个文件的读取位置保存到本地文件或配置中，应用重启后可从上次位置继续读取。
• 错误重试：Syslog推送失败时加入重试机制，可结合队列暂存失败日志，避免丢失。
• 权限配置：确保C#应用拥有IIS日志目录的读取权限，建议用本地系统账户或专用服务账户运行。

可选替代方案 #

若不想直接监控文件，可编写IIS的LoggingModule扩展，在日志生成阶段直接捕获，但这种方式复杂度更高，适合深度定制场景。

内容的提问来源于stack exchange，提问作者Mehdi Kiani