宝塔面板的操作日志主要记录在/www/server/panel/logs/request.log中，该文件完整记录HTTP请求详情（含操作人、时间、URL、参数、IP及状态码），是还原后台操作的唯一可靠依据；login.log仅记录登录行为，error.log为面板运行错误日志。
面板操作日志在哪？直接看这三个文件
宝塔面板的所有后台操作（比如修改网站配置、重启服务、添加计划任务）都会记录在固定日志文件里，不依赖界面刷新或数据库查询——这是最可靠、最原始的审计依据。
-
/www/server/panel/logs/request.log：记录每次 HTTP 请求，含操作人、时间、URL、参数（如act=save_site）、IP 和返回状态码 -
/www/server/panel/logs/login.log：只记登录行为，含成功/失败、用户名、IP、时间，适合排查异常登录 -
/www/server/panel/logs/error.log：面板自身运行错误，比如 Python 异常、模块加载失败，和“操作”无关但常被误当成操作日志
注意：request.log 是唯一能还原「谁在什么时候点了哪个按钮」的文件；其他所谓“操作日志”页面（如数据库页里的“操作日志”）只是 MySQL 查询记录，不是面板行为。
用 tail -f 实时盯住操作流
想立刻看到刚发生的操作（比如同事正在改配置），别点来点去等刷新，直接 SSH 进去实时跟踪：
- 执行
tail -f /www/server/panel/logs/request.log，新操作会逐行滚出 - 加
-n 50可先看最近 50 条：tail -n 50 /www/server/panel/logs/request.log - 想过滤某人操作？用
grep：tail -f /www/server/panel/logs/request.log | grep "username=admin"
坑点：日志默认不记录操作前后的具体参数值（如把 PHP 版本从 7.4 改成 8.2），只记动作类型。真要还原变更细节，得结合前后两条日志的时间戳+URL + 配置文件备份对比。
面板里能看但别全信的“操作日志”入口
宝塔界面确实有叫“操作日志”的按钮，但它位置隐蔽、内容残缺，且版本间变动大：
- 路径不稳定：新版可能藏在「面板设置 → 日志」，旧版在「安全 → 操作日志」，甚至部分精简版直接移除
- 展示逻辑有问题：它只读取
request.log的部分字段，自动过滤掉 POST 参数，导致你看不到“改了哪个开关” - 无搜索/筛选：不能按 IP、时间范围、操作类型快速过滤，纯靠滚动翻页
所以除非你只是粗略确认“今天有没有人动过面板”，否则别依赖这个界面——直接查文件更准、更快、更完整。
导出与归档：别等磁盘爆了才想起来清理
request.log 默认每天轮转，但不会自动压缩或删除，跑半年可能涨到几个 GB，拖慢整个面板响应。
- 手动归档命令：
gzip /www/server/panel/logs/request.log && mv request.log.gz /backup/ - 长期建议加个计划任务（宝塔「计划任务」里新建）：
find /www/server/panel/logs/ -name "request.log.*" -mtime +30 -delete（删 30 天前的压缩包） - 权限注意：日志文件属主是
root，普通用户用cat或less查没问题，但用vim编辑会提示只读——这不是 bug，是安全限制
真正容易被忽略的是：这些日志不加密、不脱敏，request.log 里可能明文出现数据库密码（如果通过 URL 传参，比如旧版 phpMyAdmin 链接），导出前务必人工检查或用脚本过滤敏感字段。
