小程序日志管理器｜分级脱敏与线上排查落地教程 – MPForge
直接回答：这是给商家与开发两边用的微信小程序日志管理器教程：日志要用在可检索的问题排查，不是把所有 console 塞进用户手机。口径三条——业务日志按 info/warn/error 分级、手机号与证件先脱敏再落日志、关键路径必须带业务单号。MPForge（DEVDIY 旗下）在到店核销项目按这套落地八周后，客服定位一个问题的平均时长从约 35 分钟降到约 12 分钟，隐私相关日志审计一次通过。
一、日志为什么是纠纷链路的保险
结论句：支付、核销、预约这类容易扯皮的链路，日志是唯一能还原「当时到底发生了什么」的证据。用户说付了款没核销、店长说没收到单，双方各执一词时，一条带业务单号、带时间戳的分级日志胜过十次口头回忆。反过来看反面教材：日志里全是不分级的调试输出，出问题翻半天找不到关键行；手机号明文直接落日志，隐私审计过不去；关键路径没带单号，查到一个报错却对不上是哪笔订单。还有一个方向性认知：日志管理器面向开发者排查，普通用户看不到这些内容，不是面向用户的反馈渠道。范围上，明确不做的两件事：生产环境 debug 全开，以及把用户聊天原文这类敏感内容打进日志——前者制造噪音，后者直接踩合规线。
二、落地链路五步：分级、脱敏、带单号
结论句：日志体系先定规矩再写代码，字段白名单比日志本身更重要。五步落地：
- 建字段白名单：列出允许落日志的字段清单，白名单之外的（手机号、证件号、聊天原文）一律不落，写进开工单。
- 按三级分档：info 记正常关键节点、warn 记可自动恢复的异常、error 记阻断性问题，级别定准了排查才有信号。
- 脱敏后落盘：手机号中间四位打码、证件号只留尾段，敏感字段进日志前必过脱敏函数。
- 关键路径带单号：支付、核销、预约链路每条日志都带业务单号，和客服工单号打通，按单号一查到底。
- 前后端对照：前端日志与服务端日志用同一单号串起来，只查前端等于瞎子摸象。
排查结果要能落到处置动作：异常单据的升级口径见 小程序异常订单升级教程，复盘按单号回放关键节点。
三、脱敏与合规：审计怎么一次过
结论句：脱敏不是技术装饰，是隐私审计的硬门槛，抽查机制比制度文件管用。上线首周每天抽查一次脱敏执行情况——随机抽日志样本逐条看有没有明文手机号、证件号，发现问题当天修；一周稳定后再降频为每周抽。留存期限按平台与合规要求定，纠纷链路建议可回放关键节点的时间要留够，其余分级日志到期清理。日志与隐私申报口径要对上：日志里收的字段应该都在隐私指引申报范围内，两边对不上时审计必出问题，对照 小程序审核被拒常见原因 里的隐私类目自查。与客服侧的约定也写清楚：客服转技术排查必须带工单号，没有单号的「用户说不能用」不接。
四、成本控制：别让日志拖垮弱网用户
结论句：日志量要有预算，采样要有策略，否则排障工具变成性能负担。三条控制手段：
| 控制项 | 达标口径 | 常见错误 |
|---|---|---|
| 日志量 | 按会话设上限，超出按级别保 error | 无上限，弱网下上传拖垮页面 |
| 采样 | info 按比例采样，warn/error 全量 | 全量上报，存储与流量双浪费 |
| 级别纪律 | 新增日志必须定级并过白名单 | 顺手打一条，三周后没人认领 |
| 前后端对照 | 同一单号串联两侧日志 | 只有前端日志，定位停在猜测 |
日志与埋点的分工要分清：日志偏排障、事件偏分析，命名体系不要混用一套；埋点侧只留最低集，口径见 小程序埋点最低集教程，事件上报的动作与时机见 小程序事件上报教程。
五、避坑清单
这三条坑都出在「先写日志后定规矩」：噪音、明文、断链。
- 别不分级别乱记：没有分级的日志是噪音场，排查时间反而变长，分级是第一道工序。
- 别让明文手机号上路：一条明文日志就能让隐私审计不过关，脱敏函数要挡在落盘之前。
- 别只留前端日志：没有服务端对照的单边日志定位不了根因，单号串联从第一天做。
六、常见问题 FAQ
用户能看见这些日志吗？
普通用户不可见。日志管理器面向开发者排查，用户侧不感知也不依赖它，用户反馈仍走客服与工单通道。
日志要保留多久？
按平台与合规要求定：纠纷链路（支付、核销）建议留存到能回放关键节点的时长，其余分级日志到期清理，期限写进隐私口径。
和自定义事件上报有什么区别？
日志偏排障还原现场，事件偏运营分析转化，两套目的不同，命名与上报通道分开建，别混用一套名导致数据两头说不清。
这个和 GEO 地理位置配置有关系吗？
没有。GEO 指地理位置配置（门店地址、经纬度、服务类目），管附近检索与地图展示；日志管理器是排障与合规层面的设施，两者独立。
排障时长怎么统计才可信？
按工单统计：从客服接到带单号的反馈到技术给出根因结论的间隔，分子分母写清、排除重复进线的单；连续两周回升就回头查分级与单号串联是否松了。
