feat(syslog): 优化WAL配置并在入站阶段丢弃无效设备日志

- 默认在进入WAL前丢弃未注册、重复或未分配到当前探针的Syslog日志
- 使用后台设备内存快照，避免Netty网络线程访问Redis或达梦
- 增加Terminal审计开关，允许恢复原有逐条审计文件模式
- 历史WAL中的无效设备记录直接推进checkpoint
- 增加无效设备丢弃、快照状态及刷新失败监控指标
- 生产WAL队列调整为20000条
- WAL待写预算和分段大小调整为2GiB
- 同步生产配置、Docker Compose及升级文档
- 增加无效设备前置过滤和Terminal开关测试

chore(syslog): 统一生产环境 WAL 挂载目录

- 将生产环境 WAL 默认目录调整为 /app/logs/syslog-wal
- Docker Compose 显式设置 SYSLOG_WAL_DIRECTORY
- WAL 与应用日志共用 /app/logs 宿主机挂载
- 移除旧的 /data/syslog-archive 独立挂载
- 宿主机 WAL 路径统一为 /home/syslog/logs/syslog-wal

haobang-security-dm/upgrade-doc/v3/config/01-new-environment-variables.md

@@ -23,19 +23,21 @@ syslog-serve/docker-compose/docker-compose-serve-prod.yaml
       - SYSLOG_MESSAGE_MAX_BYTES=6291456
       - SYSLOG_LARGE_MESSAGE_THRESHOLD_BYTES=131072
 
-      # 200KiB/条容量基线；WAL 高水位约在 14,000 条、2.7~2.8GiB 对齐触发。
+      # 200KiB/条容量基线；2GiB 字节预算在 70% 时约 7,300 条、1.4GiB 触发背压。
       - SYSLOG_WAL_QUEUE_CAPACITY=20000
-      - SYSLOG_WAL_MAX_PENDING_BYTES=4294967296
+      - SYSLOG_WAL_MAX_PENDING_BYTES=2147483648
       - SYSLOG_WAL_HIGH_WATERMARK_PERCENT=70
       - SYSLOG_WAL_LOW_WATERMARK_PERCENT=40
       - SYSLOG_WAL_FLUSH_RECORDS=200
       - SYSLOG_WAL_FLUSH_INTERVAL_MS=100
-      - SYSLOG_WAL_SEGMENT_MAX_BYTES=4294967296
+      - SYSLOG_WAL_SEGMENT_MAX_BYTES=2147483648
 
       # Kafka 投递限制正文最多 1GiB 在途，并增加加密后的 Producer 缓冲。
       - SYSLOG_DISPATCH_WORKER_THREADS=8
       - SYSLOG_DISPATCH_MAX_INFLIGHT=5000
       - SYSLOG_DISPATCH_MAX_INFLIGHT_BYTES=1073741824
+      # 性能优先：无效设备正文不进 WAL，仅按设备缓存周期打印来源 IP。
+      - SYSLOG_DISPATCH_TERMINAL_RECORD_ENABLED=false
       - SPRING_KAFKA_PRODUCER_PROPERTIES_BUFFER_MEMORY=536870912
 
       # Dockerfile 不展开 JAVA_OPTS，使用 JVM 自动读取的 JAVA_TOOL_OPTIONS。
@@ -53,10 +55,12 @@ syslog-serve/docker-compose/docker-compose-serve-prod.yaml
 - `SYSLOG_LARGE_MESSAGE_THRESHOLD_BYTES`：达到该值后走大日志 Topic；
 - `SYSLOG_WAL_QUEUE_CAPACITY`、`SYSLOG_WAL_MAX_PENDING_BYTES`：共同限制 WAL 接入条数和原文字节量；
 - `SYSLOG_DISPATCH_MAX_INFLIGHT_BYTES`：限制 Kafka Dispatcher 在途正文总量；
+- `SYSLOG_DISPATCH_TERMINAL_RECORD_ENABLED`：`false` 在 WAL 前丢弃 Syslog 无效设备正文并按缓存周期打印 IP；`true` 写 WAL 并逐条保存 Terminal 审计文件；
 - `JAVA_TOOL_OPTIONS`：设置实际 JVM 堆和直接内存上限，不能替换成当前 Dockerfile 不会展开的 `JAVA_OPTS`。
 
 `SYSLOG_MAX_FRAME_LENGTH` 必须大于或等于 `SYSLOG_MESSAGE_MAX_BYTES`。如果设备发送 GBK，应将
-`SYSLOG_CHARSET` 改为 `GBK`。
+`SYSLOG_CHARSET` 改为 `GBK`。无效设备判断只读取后台定时刷新的内存快照，不会在 Netty 网络线程访问 Redis 或达梦；
+首次快照暂未就绪或刷新失败时，消息保守进入 WAL。
 
 ## 2. syslog-consumer-rule