攻击事件结束后，团队往往只能看到拦截总数。没有可关联的请求字段，就无法判断规则是否误伤，也无法分析攻击是否改变。
五类最小字段
- 时间：统一时区和毫秒级时间戳。
- 来源：网络层摘要、地区、ASN 和设备特征，注意匿名化。
- 请求：域名、路径、方法、请求 ID 和关键头信息。
- 策略：命中的规则、动作、限速值和版本。
- 结果：边缘状态码、回源状态码、响应时间和业务结果。
建立关联 ID
为请求生成 ID，并在 CDN、WAF、源站和应用日志中传递。事件发生后，可以用同一个 ID 对齐各层状态。
限制敏感数据
不要保存密码、完整 Cookie、支付信息和客户正文。日志保存期限、访问权限和导出行为应有明确规则。
定期验证日志
在非攻击期间抽查正常请求，确认字段齐全且时间一致。只有攻击时才发现日志缺失，已经来不及回补。
需要整理事件顺序时，可使用事故时间线模板生成器，在浏览器本地生成并脱敏。