如何让macOS日志按YYYY/MM/DD目录结构存储？

我之前刚好研究过新版macOS的日志配置问题，你提到的按/var/log/YYYY/MM/DD分层存储的需求，确实因为Sierra及以后改用了统一日志系统（Unified Logging System），原来的rsyslog/syslog-ng这套传统方案不太适配了——系统默认把日志存在/var/db/diagnostics/的二进制文件里，不是传统的文本日志结构。给你分享几个可行的思路：

方案1：定时导出日志到分层目录 #

这是最稳妥的官方推荐方式，利用系统自带的log命令定期导出日志到指定结构，适合归档需求：

1. 编写一个shell脚本（比如/usr/local/bin/archive_logs.sh）：

#!/bin/bash
# 获取当前日期的年/月/日
YEAR=$(date +%Y)
MONTH=$(date +%m)
DAY=$(date +%d)
# 创建目标目录（自动递归创建不存在的层级）
LOG_DIR="/var/log/${YEAR}/${MONTH}/${DAY}"
mkdir -p "${LOG_DIR}"

# 导出当天0点到当前时间的系统日志，格式兼容传统syslog
log show --start "$(date -v0H -v0M -v0S +'%Y-%m-%d %H:%M:%S')" \
         --end "$(date +'%Y-%m-%d %H:%M:%S')" \
         --style syslog > "${LOG_DIR}/system.log"

# 可选：导出特定进程的日志，比如只导出nginx的
# log show --predicate 'process == "nginx"' --style syslog > "${LOG_DIR}/nginx.log"

2. 给脚本添加执行权限：

sudo chmod +x /usr/local/bin/archive_logs.sh

3. 用launchd设置定时任务（比cron更适配macOS）：
   创建plist文件/Library/LaunchDaemons/com.yourname.archive_logs.plist（需要root权限写入/var/log，所以放在系统级目录）：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>com.yourname.archive_logs</string>
    <key>ProgramArguments</key>
    <array>
        <string>/usr/local/bin/archive_logs.sh</string>
    </array>
    <key>StartCalendarInterval</key>
    <dict>
        <key>Hour</key>
        <integer>0</integer>
        <key>Minute</key>
        <integer>0</integer>
    </dict>
    <key>UserName</key>
    <string>root</string>
</dict>
</plist>

加载并启用这个任务：

sudo launchctl load /Library/LaunchDaemons/com.yourname.archive_logs.plist

方案2：实时流式写入分层目录 #

如果需要实时将日志写入到按日期分层的目录，可以用log stream命令结合循环脚本，适合需要实时查看文本日志的场景：

1. 编写实时日志脚本（/usr/local/bin/live_logs.sh）：

#!/bin/bash
while true; do
    # 每次循环都重新获取当前日期，避免跨天之后路径错误
    YEAR=$(date +%Y)
    MONTH=$(date +%m)
    DAY=$(date +%d)
    LOG_DIR="/var/log/${YEAR}/${MONTH}/${DAY}"
    mkdir -p "${LOG_DIR}"

    # 实时流式输出系统日志，追加到当前日期的文件
    log stream --style syslog >> "${LOG_DIR}/live_system.log"

    # 如果log stream意外退出，等待10秒后重启
    sleep 10
done

2. 同样添加执行权限并配置launchd开机启动，plist的KeepAlive设为true，确保脚本持续运行。

补充：关于传统syslog工具的兼容 #

如果你坚持想用rsyslog/syslog-ng，新版macOS保留了syslog的兼容层，但默认的syslogd已经被统一日志系统接管，你需要：

• 修改/etc/syslog.conf或/etc/syslog.d/下的配置文件，将日志转发到自定义脚本
• 由脚本负责将日志写入到/var/log/YYYY/MM/DD结构中
  不过这种方法会丢失统一日志的元数据（比如日志级别、进程ID之外的额外信息），且不如直接用log命令可靠，不推荐。

最后提醒：统一日志系统的二进制存储更高效、压缩比高，自定义文本日志会占用更多磁盘空间，记得定期清理旧日志哦～

内容的提问来源于stack exchange，提问作者Wojciech Adam Koszek