Python标准库SysLogHandler默认仅支持RFC3164，需手动构造含PRI、VERSION、ISO时间戳、HOSTNAME、BOM等的完整RFC5424消息体；rsyslog接收端须禁用传统解析模式并使用%rawmsg%模板；生产环境推荐python-syslog-ng等专用库。
默认不支持 RFC5424，必须手动构造消息头
logging.handlers.SysLogHandler 是 Python 标准库中轻量级的 Syslog 发送器，但它**原生只按 RFC3164 格式拼接日志**（例如 Jul 10 12:00:00 hostname app[123]: msg），完全不生成 RFC5424 要求的版本号、ISO 时间戳、结构化数据字段或 BOM。即使你设了 socktype=socket.SOCK_STREAM 或指定 port=6514，它发出去的仍是 RFC3164 风格文本——接收端（如 rsyslog、Logstash）若严格校验 RFC5424，会直接丢弃或解析失败。
绕过限制：用 Formatter 拼出完整 RFC5424 字符串
核心思路是：把整个 RFC5424 消息体（含 PRI、VERSION、TIMESTAMP、HOSTNAME 等）提前组装好，再交给 SysLogHandler 当作纯字符串发送。关键点在于自己补全所有 mandatory 字段：
-
PRI：计算为facility * 8 + severity，例如Facility.LOCAL4 = 20，INFO = 6→20*8+6 = 166→ 写成<166> -
VERSION：固定写1 -
TIMESTAMP：必须用%Y-%m-%dT%H:%M:%S%z（注意不是%Z），且需处理时区偏移（如+0800）；datetime.now().astimezone().isoformat()可直接产出带Z或+xx:xx的格式 -
HOSTNAME：不能为None，建议用socket.gethostname()或硬编码 -
APP-NAME、PROCID、MSGID：RFC5424 允许填-表示缺失，但部分接收端（如 Azure Monitor）要求非空，可填占位符如"python"、"1"、"-" -
STRUCTURED-DATA：可填-，或按[example@12345 key="value"]格式构造 -
MSG：必须以 UTF-8 BOM（\xEF\xBB\xBF）开头，否则接收端可能解码失败
示例 Formatter 实现片段：
class RFC5424Formatter(logging.Formatter):
def format(self, record):
pri = f"<{record.facility * 8 + record.levelno}>"
timestamp = datetime.now().astimezone().isoformat(timespec='seconds')
hostname = socket.gethostname()
appname = getattr(record, 'appname', 'python')
procid = str(getattr(record, 'procid', os.getpid()))
msgid = getattr(record, 'msgid', '-')
sd = getattr(record, 'structured_data', '-')
# 注意：BOM 必须在 MSG 前，且整个 MSG 部分要 UTF-8 编码
msg_body = f"{getattr(record, 'msg', '')}"
if not isinstance(msg_body, bytes):
msg_body = msg_body.encode('utf-8')
full_msg = f"{pri}1 {timestamp} {hostname} {appname} {procid} {msgid} {sd} \xEF\xBB\xBF{msg_body.decode('utf-8')}"
return full_msg
rsyslog 接收端必须禁用自动解析，否则会二次转义
如果你用 rsyslog 接收 Python 发来的 RFC5424 消息，切记：不要启用 imtcp 的 $InputTCPServerRunTraditionalForwarderMode on（即传统模式）。该模式会强制将收到的原始字节流当作 RFC3164 解析，再重新封装成 RFC5424 —— 导致时间戳重复、BOM 被当普通字符、结构化数据丢失。正确做法是：
- 在
/etc/rsyslog.d/50-python.conf中启用纯转发模式：$InputTCPServerStreamDriverMode 1（启用 TLS 时）或显式关闭传统模式 - 使用
template直接取%rawmsg%字段，避免任何中间解析：template(name="RawRFC5424" type="string" string="%rawmsg%\n") - 确认 rsyslog 版本 ≥ v8.2001（旧版对 RFC5424 支持不全）
更稳妥的选择：换用第三方库而非硬刚标准库
硬改 SysLogHandler 容易漏掉边界情况（比如多行日志截断、特殊字符转义、BOM 位置错乱）。生产环境建议直接用专为 RFC5424 设计的库：
-
python-syslog-ng：底层调用 syslog-ng C 库，原生支持 RFC5424 和 TLS -
rsyslog-python：官方维护，与 rsyslog 配置深度集成 - 自己封装
socket.sendall()+ 手动构造（比改 Formatter 更可控，尤其适合高吞吐场景）
RFC5424 的坑不在“怎么发”，而在“发完对方认不认”——务必用 tcpdump -A port 6514 抓包，逐字核对是否真有 <166>1 2026-01-26T15:49:00+08:00 ... \xEF\xBB\xBF... 这种结构。少一个空格、错一位时区、缺一个 BOM，都可能导致整条链路静默丢日志。
