lo mejor es mantener un .log fuera del directorio de acceso público (htdocs) o sino mantenerlo como .php y al principio poner
Código PHP:
<?php die('Access denied'); ?>
para que los usuarios no puedan leer los logs.
En el codigo, debes hacer
Código PHP:
$ruta = 'miarchivo.log';
$fp = fopen($ruta, 'a');
fwrite($fp, '...');
fclose($fp);