关键是使用escape=json参数在http块定义log_format，数值字段不加引号、字符串字段加双引号，access_log显式引用该格式名，并确保路径绝对且权限正确，即可输出合法JSON日志供ELK直接解析。
要让 Nginx 的 log_format 输出标准 JSON 格式日志，关键是确保字段名明确、值合法（无换行/未转义引号）、结构扁平，且与 Logstash 或 Filebeat 的解析规则对齐。不需要额外插件，纯原生配置即可实现 ELK 无缝接入。
定义合规的 JSON 日志格式
Nginx 原生不支持自动 JSON 转义，必须手动处理特殊字符（如双引号、换行），否则会导致 Logstash 解析失败或丢日志。推荐使用 escape=json（Nginx 1.11.8+）自动转义：
- 在
http块中定义 log_format，用escape=json保证字段安全：
log_format json_log escape=json '{'
'"time_local":"$time_local",'
'"remote_addr":"$remote_addr",'
'"request_method":"$request_method",'
'"request_uri":"$request_uri",'
'"status":$status,'
'"body_bytes_sent":$body_bytes_sent,'
'"http_referer":"$http_referer",'
'"http_user_agent":"$http_user_agent",'
'"request_time":$request_time,'
'"upstream_response_time":"$upstream_response_time"'
'}';</font><p>注意：<code>$status</code> 和 <code>$body_bytes_sent</code> 不加引号（数值类型）；<code>$upstream_response_time</code> 可能为空，但 Nginx 会输出短横线 <code>-</code>，Logstash 可后续过滤或默认为 0；所有字符串字段必须用双引号包裹，且由 <code>escape=json</code> 自动处理内部引号和控制符。</p><H3>启用 JSON 日志并验证输出</H3><p>在 server 或 location 块中启用该格式，并重定向 access_log 到文件或 syslog：</p><ul><li>写入本地文件（便于调试）：</li></ul><font color="blue"><pre class="brush:php;toolbar:false;">access_log /var/log/nginx/access-json.log json_log;重启 Nginx 后，执行一次请求，检查日志是否为单行合法 JSON（可用 jq . /var/log/nginx/access-json.log | head -1 验证）。常见错误包括：字段名漏引号、数值字段加了引号、escape=json 拼写错误、Nginx 版本过低不支持该参数。
使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。
Logstash 或 Filebeat 端无需 grok 解析
因日志已是标准 JSON，Logstash 可直接用 json 过滤器提取字段：
filter {
json {
source => "message"
}
}Filebeat 更简单，在 filebeat.yml 中开启 JSON 解析：
filebeat.inputs:
- type: filestream
paths:
- /var/log/nginx/access-json.log
json.keys_under_root: true
json.add_error_key: true
json.message_key: "message"这样所有字段（如 status、request_time）将直接成为 Elasticsearch 文档的顶层字段，Kibana 中可直接用于可视化或筛选，无需编写 grok 表达式。
补充建议：时间戳与时区统一
Nginx 默认 $time_local 是服务器本地时间，Elasticsearch 推荐使用 ISO8601 UTC 时间。可改用 $time_iso8601（已带时区信息），或在 Logstash 中用 date 过滤器标准化：
- 修改 log_format 中时间字段为：
"time_iso8601":"$time_iso8601" - Logstash date 过滤示例（若仍用
$time_local）：
date {
match => ["time_local", "dd/MMM/yyyy:HH:mm:ss Z"]
target => "@timestamp"
}确保 Kibana 中时间范围筛选准确，避免日志“消失”在错误时区里。
