Graylog启动失败主因是MongoDB或Elasticsearch未就绪：需确保4GB空闲内存、调低ES堆内存、用mongo:5.0镜像、配置healthcheck；Java发日志超时需检查GELF UDP绑定地址、防火墙、宿主机IP及字段映射。
Graylog服务端没起来，docker-compose up 报 mongodb 或 elasticsearch 启动失败
Graylog依赖MongoDB存元数据、Elasticsearch存日志索引，两者任一挂掉，Graylog容器就会反复重启。常见原因是内存不足或配置冲突。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 确保宿主机至少有4GB空闲内存；Elasticsearch默认堆内存设为2GB，若物理内存≤4GB，必须在
docker-compose.yml里显式调低：ES_JAVA_OPTS: "-Xms512m -Xmx512m" - MongoDB 6.0+ 默认启用访问控制，但Graylog官方镜像仍按旧版逻辑连接，容易报
Authentication failed。稳妥起见，用mongo:5.0镜像而非latest - 检查
docker-compose.yml中各服务的depends_on是否只声明了启动顺序，而没加健康检查——这会导致Graylog在ES还没ready时就去连，直接失败。应补上healthcheck和restart: on-failure
Java应用发不出日志到Graylog，GELF UDP 一直超时
Java项目用logback-gelf或graylog-log4j2-appender发GELF日志时，最常卡在UDP连通性上——不是代码写错了，而是网络或接收端没对齐。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 确认Graylog的
Inputs里已启用了GELF UDP，且绑定地址是0.0.0.0（不是127.0.0.1），端口比如12201没被防火墙拦住（Linux查sudo ufw status，Docker注意宿主机与容器网络模式） - Java客户端必须配
host为Graylog服务所在机器的真实IP（如192.168.1.100），不能写localhost或host.docker.internal（后者仅在Docker for Mac/Win有效，Linux需手动加--add-host） - UDP无重试机制，单条日志超
8192字节会被截断甚至丢弃。避免在MDC里塞大JSON，或改用GELF HTTP输入（Graylog后台开对应HTTP Input，Java端换用gelf-logging-log4j2-http）
logback-spring.xml 里配GelfLayout，但日志字段全丢了，只看到short_message
Logback默认只把message和level塞进GELF，其他字段比如service_name、trace_id要手动映射，否则Graylog里查不到上下文。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 用
GelfLayout时，必须显式声明additionalField，例如：<additionalfield>service_name:my-order-service</additionalfield>；动态值要用%X{key}语法，比如<additionalfield>trace_id:%X{traceId}</additionalfield> - 别漏掉
includeFullMdc开关——设为true才能把MDC里所有键值自动转成GELF字段，但要注意字段名不能含空格或点号（Graylog会拒绝入库） - 如果用Spring Boot，优先考虑
logging.pattern.console只是调试用，真正发GELF时它不生效；所有格式控制必须落在GelfLayout配置里
Graylog里搜不到日志，Query does not match any messages 却确认日志已发送
这通常不是传输问题，而是时间戳或索引策略导致日志进了“冷区”或根本没路由到活跃索引。
实操建议：
立即学习“Java免费学习笔记（深入）”；
- 检查Graylog Web界面右上角时间范围，默认是“Last 5 minutes”，但Java应用发的日志时间戳若比服务器慢/快太多（比如NTP未同步），就会被过滤掉。先切到“Everything”看原始消息
- 进
System / Indices，看当前写入的index set是否处于Active状态；如果显示Failed，大概率是Elasticsearch磁盘水位超限（disk.watermark.flood_stage触发），清空间或调高阈值 - 在Input详情页点
Show received messages，能直连看到原始GELF包内容。如果这里都为空，说明UDP包根本没进Graylog进程——回到第二部分查网络和端口
时间戳对齐、索引活跃态、原始接收验证，这三步漏掉任何一环，都会让日志“发了等于没发”。尤其跨时区部署时，Java应用和Graylog服务器的系统时间差超过1分钟，就足以让日志沉底。
