PHP日志接入ELK需结构化输出JSON并经Filebeat安全传输：用Monolog+JsonFormatter生成合法JSON，禁用file input改用beats协议，Logstash强制json codec，预定义ES字段类型，配置filebeat清理策略。
PHP 本身不直接实现 ELK（Elasticsearch + Logstash + Kibana），它只是日志的生产者；真正要让 PHP 日志进 ELK，关键在「怎么把日志可靠、结构化地送到 Logstash 或 Elasticsearch」——而不是写个 error_log() 再手动导入。
PHP 日志怎么输出成 Logstash 能吃的格式
Logstash 偏好 JSON 格式输入，避免解析失败。PHP 默认的 error_log() 或 file_put_contents() 写纯文本，Logstash 得额外配 grok 过滤，极易出错且维护成本高。
- 用
Psr\Log\LoggerInterface接口 +monolog/monolog库，配置JsonFormatter，确保每行是一条合法 JSON - 不要用
print_r()或var_dump()直接写日志文件——它们输出多行、含 HTML 实体、无时间戳，Logstash 会丢弃整行 - 必须显式设置时区：在日志处理器前加
date_default_timezone_set('UTC')，否则@timestamp字段可能错位 - 示例片段：
$handler = new StreamHandler('/var/log/php/app.log'); $handler->setFormatter(new JsonFormatter(JsonFormatter::BATCH_MODE_JSON, true)); $logger = new Logger('app'); $logger->pushHandler($handler);
Logstash 怎么安全接收 PHP 日志（不推荐 file input）
别用 file 插件监听 PHP 日志文件——文件轮转（logrotate）时容易丢日志、inode 变更导致重复采集、权限问题频繁报错。
- 改用
beats协议：在 PHP 服务器装filebeat，用filebeat.inputs.type: filestream读日志，走 TLS 发给 Logstash 的beatsinput - 如果必须直连 Elasticsearch：PHP 用
elasticsearch/elasticsearch客户端，但注意批量写入频率和bulk大小（建议 ≤ 1000 条/次，单条 ≤ 1MB） - Logstash 配置里禁用
codec => plain，强制用codec => json，否则即使日志是 JSON，也会被当字符串塞进message字段
PHP 日志字段怎么对齐 Elasticsearch mapping
字段类型一旦写入就很难改，level 被当成 text 就没法聚合统计，duration 是 keyword 就没法做范围查询。
立即学习“PHP免费学习笔记（深入）”；
- 在 Logstash filter 中显式转换：
filter { mutate { convert => { "duration" => "integer" } } mutate { add_field => { "service" => "php-api" } } } - PHP 日志中避免动态键名（如
"user_12345" => "active"），Elasticsearch 会自动创建 dynamic mapping，后续写入不同结构会报illegal_argument_exception - 关键字段建议预定义：用
index template设定level为 keyword，timestamp为 date，trace_id为 keyword（用于链路追踪关联）
最常被跳过的一步：没配 filebeat.close_inactive 和 filebeat.clean_removed，导致旧日志文件句柄一直占着，磁盘悄悄打满。ELK 不是部署完就自动工作的管道，PHP 日志的每一行，都得明确知道它从哪来、经哪转、存哪去、怎么查。
