Graylog 是独立日志审计中心，Go 服务需通过 GELF HTTP 可靠推送结构化日志，确保字段打平、时间戳精准、审计与应用日志物理隔离，并严格校验上下文与敏感信息脱敏。
Graylog 不是 Golang 微服务的“部署组件”，而是独立运行的日志审计中心。你在 Go 服务里不“部署”它，只负责把结构化日志可靠推送过去。关键不是装 Graylog，而是让 Go 日志能被它正确解析、富化、告警和溯源。
Go 服务怎么发日志给 Graylog？用 GELF 还是 Beats？
优先选 GELF HTTP（不是 UDP/TCP），原因很实际：
-
GELF UDP无连接、无重试、丢包静默——线上微服务日志量大时，一丢就是几十条，审计链路直接断裂 -
Filebeat虽稳，但多一层进程依赖，Go 服务重启时 Filebeat 配置没同步会导致字段缺失或时间错乱 -
GELF over HTTP可控超时、可设重试（最多 3 次）、响应体带202 Accepted或明确错误码，便于监控失败率
实操建议：
- 用
gelf库（如influxdata/go-gelf）封装gelf.Writer，初始化时指定 Graylog 的http://graylog:12201/gelf - 每条日志必须带
_level（映射 Go 的logrus.Level）、_service（服务名）、_trace_id（OpenTelemetry 上下文传入） - 禁用
Writer.Close()在请求结束时调用——它会关底层 HTTP client，应复用全局 client
为什么 Go 日志字段在 Graylog 里全变成 short_message？
这是最常踩的坑：你发的是 JSON 字符串，但没按 GELF 协议打平字段。Graylog 收到的是纯文本，自动塞进 short_message，所有自定义字段（如 user_id、endpoint）全部丢失。
立即学习“go语言免费学习笔记（深入）”；
正确做法：
- 不要
json.Marshal后整个当short_message发 - 构造 map[string]interface{}，把业务字段直接写在顶层，例如：
map[string]interface{}{"short_message": "user login", "user_id": 123, "status_code": 200, "_level": "info"} -
_开头的字段（如_level、_service）会被 Graylog 自动识别为元字段；不加下划线的（如user_id）成为可搜索的普通字段 - 如果用了
logrus，别用logrus.JSONFormatter，改用自定义Formatter直接输出 GELF 兼容 map
审计日志必须隔离，Go 里怎么物理分离 audit.log 和 app.log？
混发 = 审计失效。等保要求审计日志独立存储、独立权限、不可删改，而 Go 服务里如果只用一个 log.Logger 实例往 Graylog 推，就等于把 debug 日志和操作留痕日志塞进同一个索引，查违规行为时得 grep 几百 GB。
实操要点：
- 声明两个独立 logger：
auditLogger（只用于记录用户动作：登录、删数据、改权限）和appLogger（其他所有） -
auditLogger必须校验上下文：if userID == "" || action == "" { log.Warn("audit log missing required fields") }，缺字段宁可打 warning 也不发空日志 - 在 Graylog 侧建专用 stream，filter 条件设为
fields.stream_type: "audit"，再绑定专属 Elasticsearch index set（保留 180 天、强制 ILM rollover） - 禁止在
auditLogger中打印原始密码、token、身份证号——只存sha256(token)[:8]或掩码后字符串 + 哈希值（用于紧急溯源）
Graylog 告警收不到？检查 Go 日志的时间戳和时区
Graylog 告警规则依赖 timestamp 字段做滑动窗口统计（比如“5 分钟内 error ≥ 10”）。如果你 Go 服务没显式设时间戳，gelf.Writer 会用 time.Now()，但各 Pod 时钟不同步 + 无时区信息，导致日志在 Graylog 里显示为 UTC 时间，而你的告警条件按本地时区配，永远不触发。
解决方法：
- 所有 GELF 日志必须显式带
timestamp字段，值为 Unix nano（纳秒级整数），来源统一取请求开始时的ctx.Value("start_time").(time.Time) - 确保 Go 服务容器里
/etc/timezone正确（如Asia/Shanghai），且启动时加-e TZ=Asia/Shanghai - Graylog Input 的
Time zone配置必须和 Go 服务一致，否则 timestamp 解析偏移，告警延迟或漏报
真正难的不是把日志发过去，而是让每条审计日志都带齐上下文、时间可信、字段可查、存储隔离。Golang 的 context 和 defer 是你控制这些的唯一杠杆，别交给中间件或框架自动处理。
