ThinkPHP 5.1 接入 ELK Stack 实现多节点日志集中管理，核心在于本地规范输出、标准化采集与结构化入库：启用 JSON 日志格式（5.1.15+）、Filebeat 轻量采集并解析 JSON、Logstash 过滤增强、ES 动态索引与 ILM 管理、Kibana 构建错误趋势及多维分析看板。
ThinkPHP 5.1 接入 ELK Stack 实现多节点日志集中管理，核心在于“本地规范输出 + 标准化采集 + 结构化入库”。不依赖框架深度改造，重点落在日志格式统一、采集路径明确、传输链路可靠三步上。
一、ThinkPHP 5.1 日志输出标准化
确保每条日志具备可解析的结构，是 ELK 能高效索引的前提。TP5.1 默认支持 JSON 格式日志（5.1.15+），需主动启用并控制字段：
- 在 config/log.php 中为关键通道启用
'json' => true，例如错误通道：'error_file' => [ 'type' => 'file', 'path' => runtime_path('logs/error'), 'level' => ['error','critical'], 'json' => true ] - 避免记录敏感字段：在日志写入前过滤 password、token、银行卡号等，可在自定义日志处理器或中间件中用
array_filter()或正则剔除 - 添加上下文标识：通过
Log::error('支付失败', ['order_id' => $id, 'user_id' => $uid])显式传入业务字段，这些键值会自动转为 JSON 的 top-level 字段，便于 Kibana 过滤
二、Filebeat 部署与配置（轻量采集）
每台应用服务器部署 Filebeat，替代 Logstash 做前端采集，降低资源开销：
- 配置 filebeat.yml 指向 TP 日志目录，如：
paths:<br> - /var/www/your-app/runtime/logs/error/*.log<br> - /var/www/your-app/runtime/logs/daily/*.log
- 启用 JSON 解析：
json.keys_under_root: true<br>json.add_error_key: true<br>json.message_key: "message"
（自动识别 TP 输出的 JSON 行） - 添加字段标记来源：
fields:<br> service: "tp51-order-api"<br> env: "prod"<br> host: "${HOSTNAME}"
三、Logstash 过滤与增强（可选但推荐）
若需统一补全字段、重命名、或做条件路由，Logstash 是理想中间层：
立即学习“PHP免费学习笔记（深入）”；
- 输入端对接 Filebeat：
input { beats { port => 5044 } } - 过滤器中解析时间、提取 URL 参数、标准化 level 字段：
filter {<br> if [level] == "error" { mutate { add_field => { "severity" => "high" } } }<br> date { match => ["timestamp", "ISO8601"] }<br>} - 输出到 Elasticsearch：
output { elasticsearch { hosts => ["http://elk1:9200"] index => "tp51-%{+YYYY.MM.dd}" } }
四、Elasticsearch 索引策略与 Kibana 可视化
避免单索引膨胀，用日期动态索引 + ILM 生命周期管理：
- 在 Kibana 中创建 Index Pattern：
tp51-*，自动识别@timestamp字段 - 设置 ILM 策略：热阶段保留 7 天（高频查询），温阶段迁移至低配节点存 30 天，冷阶段归档或删除
- 常用看板建议：
• 错误 Top 10 接口（按context.route或message聚合）
• 每分钟 error 数趋势图（X轴时间，Y轴 count）
• 按 service + env 多维下钻分析
