使用ELK统一收集分析PHP日志可提升排查效率：PHP端用Monolog输出结构化JSON日志；Logstash解析增强字段；ES索引按天滚动，Kibana构建错误率、慢请求等看板；推荐Filebeat采集+请求ID追踪+敏感字段脱敏。
PHP应用日志分散在文件、标准输出或数据库中，直接排查问题效率低。用ELK（Elasticsearch + Logstash + Kibana）统一收集、分析和可视化PHP日志，能快速定位错误、监控请求趋势、审计用户行为。
PHP端：规范日志格式并输出到统一位置
避免使用error_log()随意写入，改用结构化日志。推荐使用monolog/monolog库，将日志以JSON格式输出到文件或stdout：
- 配置Monolog的
JsonFormatter，确保每条日志是合法JSON，含timestamp、level、message、context（如request_id、user_id）等字段 - Web应用建议输出到
/var/log/php/app.log；容器环境可直接输出到stdout，由Docker或K8s日志驱动捕获 - 在Laravel中，修改
config/logging.php，为stack通道指定json格式；在原生PHP中，初始化Handler时显式设置formatter
Logstash：可靠采集并增强PHP日志字段
Logstash作为日志管道，负责读取、解析、丰富和转发日志。针对PHP常见场景需注意：
- 用
file或docker输入插件读取日志源；若日志是JSON，启用json编解码器自动解析，避免用grok正则硬匹配 - 添加
date过滤器，从timestamp字段提取@timestamp，确保时间对齐Elasticsearch时区 - 用
mutate重命名关键字段（如level → log.level），用geoip或useragent插件补充IP地理位置、浏览器信息（需上下文中有remote_addr、user_agent）
Elasticsearch + Kibana：高效检索与业务视角看板
索引设计影响查询性能和存储成本：
立即学习“PHP免费学习笔记（深入）”；
- 为PHP日志创建独立索引模板（如
php-app-*），设置合理的生命周期策略（ILM），按天滚动+7天后自动删除 - 在Kibana中创建Index Pattern，启用
log.level、http.status_code、request_id等字段为keyword类型，支持聚合与精确筛选 - 构建常用看板：错误率趋势（
log.level: "error"占比）、慢请求TOP10（duration > 2000）、异常IP分布、特定API的5xx响应热力图
进阶建议：降低耦合、提升可观测性
不把Logstash强绑定在PHP服务器上，更推荐轻量采集方案：
- 用Filebeat替代Logstash做日志采集（资源占用更低），通过
processors做简单解析和字段添加，再转发给Logstash或直接写入ES - 在PHP中注入
X-Request-ID头，并贯穿整个调用链（包括cURL下游请求），便于在Kibana中用该ID关联所有相关日志 - 对敏感字段（如password、token）在Logstash或Filebeat层用
redact处理器脱敏，避免原始日志泄露
