如何通过instrumentation捕获HTTP状态码（非日志获取方式）

完全存在成熟可落地的技术方案，不需要读取、解析任何Web服务器日志，通过插桩（instrumentation）就可以直接获取请求对应的HTTP状态码，这也是目前云原生可观测领域已经大规模生产落地的常规实现方式。

HTTP状态码是服务端构造响应时，写在响应报文起始行的固定字段，只要插桩逻辑能hook到响应生成、发送的关键执行路径，就能直接从内存上下文、网络报文中拿到状态码值，全程不需要等日志落盘。

• Web服务器层动态插桩
  针对Apache、Nginx、IIS这类Web服务器，可以直接挂载其内部处理响应的核心函数拿状态码：Nginx可以通过动态模块或者eBPF探针挂载ngx_http_send_header函数，直接读取请求上下文里的status字段；Apache可以挂载ap_send_http_header相关接口拦截状态码；IIS可以注册原生HTTP模块，在SendResponse事件触发时直接读取响应状态属性，整个过程完全不涉及访问日志的读写。
• 应用运行时插桩
  如果业务逻辑跑在Web服务器后端的应用进程里，可以通过语言层面的插桩直接获取：比如Java用Java Agent做字节码增强，hook Servlet规范的response.getStatus()方法、Spring Web的响应返回拦截点；Python、Node.js类服务用Monkey Patch替换WSGI/ASGI、HTTP模块的响应写方法；Go服务用uprobe挂载标准库net/http的响应头写入函数，直接从请求结构体里读状态码，和Web服务器日志没有任何依赖关系。
• 零侵入内核层eBPF插桩
  不需要改Web服务器配置、不需要往业务进程注入Agent，只要在主机上部署eBPF探针，hook网络发送相关的系统调用，或者挂载OpenSSL等加密库的明文发送函数，直接从出方向的流量里解析HTTP响应起始行，就能提取到状态码。这种方案对上层服务完全透明，不管是什么类型的Web服务器都能适配，全程不会碰服务器上的日志文件。

• 插桩点要选在响应头最终发送的位置，不要选业务逻辑层过早的拦截点，避免拿到后续被中间件、过滤器修改过的错误状态码
• 采集HTTPS流量的状态码时，内核层探针需要配合用户态的加密库Hook逻辑拿明文响应，否则只能抓到加密报文无法解析
• 这类插桩采集的性能开销远低于日志落盘+采集解析的链路，生产环境正常部署的话，额外CPU开销通常可以控制在1%以内，对业务影响极小

内容的提问来源于stack exchange，提问作者Rebecca Clinard