核心要点 先看入口是否还在持续异常，先把“日志比对”放到最前面看，客户最先感受到的通常不是技术名词，而是访问是否稳定、页面是否正常、业务有没有被打断。 - 入口、账号和日志要一起看，单独看一个点很容易漏掉真正的触发源 - 备份、回滚和当前状态要同时确认，别等出事后才发现没有退路 - 共享目录和启动项往往藏着残留线索，适合放在排查后半段处理

关键方法 把“最近变更、登录记录、进程状态、访问曲线”放在一条线上看，问题通常就不会那么散。遇到异常时，先留证据再处理，截图、日志和时间点能帮助后续复盘。围绕“日志比对”处理时，不要急着一次性改太多，先把范围收窄，再判断是入口问题、配置问题还是残留问题。 如果现场还没有完全恢复，先保住回滚点、日志和备份，再继续下一步，这样后面复盘会更清楚，也不容易误伤正常业务。

注意事项 新装环境更要注意基线是否完整。别把正常账号和异常账号混在一起看。把这类问题按时间线理顺，后面会轻松很多。