为什么 logrotate 的 copy truncate 模式容易引发日志采集问题？

copy truncate 模式先复制原日志文件，再截断原文件，存在三类风险：

• 重复采集：copy 产生的新文件因 inode 变化，可能被采集器当成全新文件再次采集。
• 内容丢失：copy 与 truncate 不是原子操作，两个操作之间写入的内容既不在副本里，又会被截断清除。
• 签名误判：truncate 让文件大小变小、头部内容变化，采集器以文件头部签名识别文件唯一性时会误判为新文件，触发重复采集。

推荐改用 create 模式 进行轮转，即创建新文件并重命名旧文件，保证文件的完整性和连续性。如果无法避免 copy truncate，至少要在采集配置中使用精确路径名以收敛误判面，并在消费端做好去重逻辑。