Nginx日志轮转后PGP加密方案咨询：用postrotate还是CronJob？

好问题！其实这两种方式都能搞定你的需求，但postrotate会更直接、更贴合日志轮转的生命周期——毕竟它就是logrotate专门留出来做轮转后收尾操作的钩子。当然CronJob也能实现，但得额外做些逻辑避免重复加密，咱们一个个说清楚。

logrotate的postrotate指令天生就是为轮转完成后的后续操作设计的，能确保在日志完成轮转、压缩（如果配置了compress的话）之后立即执行加密，完美匹配你的需求。

给你一个具体的Nginx logrotate配置示例（通常配置文件路径是/etc/logrotate.d/nginx）：

/var/log/nginx/*.log {
    daily
    missingok
    rotate 14
    compress
    delaycompress  # 关键：延迟压缩，避免和Nginx日志写入冲突
    notifempty
    create 0640 www-data adm
    sharedscripts
    postrotate
        # 先让Nginx重新打开日志文件，释放旧日志的占用
        [ -f /var/run/nginx.pid ] && kill -USR1 `cat /var/run/nginx.pid`
        # 遍历刚轮转压缩的日志文件，加密未处理过的文件
        for logfile in /var/log/nginx/*.log.*.gz; do
            # 检查是否已加密，避免重复操作
            if [ ! -f "${logfile}.gpg" ]; then
                gpg --encrypt --recipient 你的PGP密钥ID/邮箱 "${logfile}"
                # 可选：加密后删除原压缩文件，节省磁盘空间
                # rm "${logfile}"
            fi
        done
    endscript
}

这里几个细节要注意：

• delaycompress必须加：它会让logrotate延迟到下一次轮转时才压缩当前日志，这样postrotate处理的是上一轮转完成的压缩文件，不会和Nginx的实时日志写入冲突。
• 一定要加[ ! -f "${logfile}.gpg" ]的判断：防止因为手动触发轮转等场景导致重复加密同一个文件。
• 把你的PGP密钥ID/邮箱替换成你实际的PGP标识。

如果因为某些原因不想修改logrotate配置，CronJob也能实现，但需要额外做时间范围和重复操作的判断，不如postrotate精准。

步骤如下：

1. 写一个加密脚本/usr/local/bin/encrypt-nginx-logs.sh：

#!/bin/bash
LOG_DIR="/var/log/nginx"
# 找出24小时内生成的未加密.gz日志文件，执行加密
find "${LOG_DIR}" -name "*.log.*.gz" -mtime -1 ! -name "*.gpg" -exec gpg --encrypt --recipient 你的PGP密钥ID/邮箱 {} \;
# 可选：加密完成后删除原压缩文件
# find "${LOG_DIR}" -name "*.log.*.gz" -mtime -1 ! -name "*.gpg" -exec rm {} \;

2. 给脚本添加执行权限：

chmod +x /usr/local/bin/encrypt-nginx-logs.sh

3. 配置CronJob（假设logrotate每天凌晨1点执行，我们把加密放在凌晨2点，错开时间）：

0 2 * * * /usr/local/bin/encrypt-nginx-logs.sh >> /var/log/encrypt-nginx-logs.log 2>&1

这种方式的缺点是需要和logrotate的执行时间严格错开，且文件查找的时间范围可能会漏掉或误处理文件，不如postrotate的时机精准。

• 优先选postrotate：它和logrotate的生命周期绑定，操作时机精准，不需要额外的时间调度配置，逻辑更简洁，也更不容易出错。
• 如果需要更灵活的调度（比如每周加密一次，而非每次轮转都加密），或者不想修改logrotate配置，再考虑CronJob。
• 不管用哪种方式，一定要手动测试：执行logrotate -f /etc/logrotate.d/nginx强制触发轮转，检查加密操作是否正常执行，有没有报错。

内容的提问来源于stack exchange，提问作者AHT