ubuntu nodejs日志如何加密

在 Ubuntu 上给 Node.js 日志加密，常见做法有 应用层加密、传输加密、存储加密 几种思路。下面按“实际可落地”的方式给你讲清楚。

一、应用层：日志写入前就加密（最常用）

方案 1：使用加密库（crypto）手动加密

适合自定义日志模块。

const crypto = require('crypto');
const fs = require('fs');

const key = crypto.randomBytes(32); // 密钥要安全管理
const iv = crypto.randomBytes(16);

function encrypt(text) {
  const cipher = crypto.createCipheriv('aes-256-cbc', key, iv);
  let encrypted = cipher.update(text, 'utf8', 'hex');
  encrypted += cipher.final('hex');
  return encrypted;
}

const log = encrypt('user login success');
fs.appendFileSync('app.log.enc', log + '\n');

✅ 优点：日志本身就是密文
❌ 缺点：密钥管理复杂

方案 2：使用 Winston + 自定义 Transport 加密

适合已有日志系统。

const winston = require('winston');
const crypto = require('crypto');

const cipherKey = crypto.randomBytes(32);
const iv = crypto.randomBytes(16);

class EncryptFileTransport extends winston.Transport {
  log(info, callback) {
    const cipher = crypto.createCipheriv('aes-256-cbc', cipherKey, iv);
    const enc = cipher.update(info.message, 'utf8', 'hex') + cipher.final('hex');
    fs.appendFileSync('logs/enc.log', enc + '\n');
    callback();
  }
}

二、传输层加密（日志发到远端）

方案 3：用 TLS / HTTPS 发日志

例如：

• Filebeat → Logstash（TLS）
• Node.js → Loki / Elasticsearch（HTTPS）

Node.js 示例（HTTPS）：

axios.post('https://log-server.example.com/log', data, {
  httpsAgent: new https.Agent({ rejectUnauthorized: true })
});

✅ 防止网络抓包
❌ 服务端仍是明文

三、存储层加密（Ubuntu 系统级）

方案 4：Linux 磁盘 / 目录加密

适合“服务器被拿走”的场景。

1️⃣ 全盘加密（安装时）

Ubuntu 安装时勾选 LVM + Encryption

2️⃣ 目录加密（eCryptfs）

sudo apt install ecryptfs-utils
ecryptfs-setup-private

3️⃣ 日志目录加密（LUKS）

cryptsetup luksFormat /dev/sdb1
cryptsetup open /dev/sdb1 logenc
mkfs.ext4 /dev/mapper/logenc

✅ 透明、对 Node.js 无感
❌ 运行时不防 root 用户

四、日志文件权限 + 加密（推荐组合）

chmod 600 /var/log/nodejs/*.log
chown node:node /var/log/nodejs

配合：

• AES 加密
• 或磁盘加密

五、密钥管理建议（非常重要）

❌ 不要写死在代码里
✅ 使用：

• environment variable
• systemd EnvironmentFile
• Vault / KMS

推荐实践（总结）

如果你愿意，可以告诉我：

• 用的是 Winston / Pino / 原生 fs
• 日志是 本地 / 远程
• 是否有 合规要求（等保 / GDPR）

我可以直接给你一套完整配置。