标准库log无法被ELK正确解析，因其输出纯文本、无固定格式与结构化字段，导致Logstash难以稳定提取level、trace_id等关键信息；真正可用的是每行一个合法JSON对象，字段名统一、类型明确、时间采用ISO8601格式。
为什么默认的 log 包无法被 ELK 正确解析
Go 标准库 log 输出的是纯文本，字段混杂、无固定分隔、无时间戳格式约束，Logstash 的 grok 过滤器很难稳定提取 level、service、trace_id 等关键字段。ELK 链路里一旦日志非结构化，Kibana 查看时就只能靠全文匹配，排查效率断崖式下降。
真正能被 ELK 消费的日志，必须是每行一个合法 JSON 对象 —— 字段名统一、类型明确、无嵌套乱码、时间用 ISO8601（如 "2024-05-22T14:30:45.123Z"）。
用 zap.Logger 替代 log 包并启用 JSON 编码
zap 是 Go 生态事实标准的高性能结构化日志库，它原生支持 JSON 输出，且开箱即用兼容 Logstash 的 json codec。
- 安装：
go get -u go.uber.org/zap - 初始化时指定
zap.NewProductionEncoderConfig()并设EncodeLevel为小写字符串（避免 Logstash 因大小写不一致丢字段） - 务必调用
logger.Sync()在程序退出前刷盘，否则最后一段日志可能丢失 - 避免直接用
zap.String("msg", "xxx")写消息 ——msg字段应由logger.Info("user login failed")自动填充，自定义字段只放上下文数据
示例片段：
Golang Spf13 Viper
下载
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
立即学习“go语言免费学习笔记（深入）”；
cfg := zap.NewProductionConfig()
cfg.EncoderConfig.TimeKey = "ts"
cfg.EncoderConfig.EncodeTime = zapcore.ISO8601TimeEncoder
cfg.EncoderConfig.EncodeLevel = zapcore.LowercaseLevelEncoder // ← 关键：确保 level 是 "info" 而非 "INFO"
logger, _ := cfg.Build()
defer logger.Sync()
logger.Info("user login failed",
zap.String("user_id", "u_789"),
zap.String("ip", "192.168.1.100"),
zap.Int("status_code", 401))
如何注入 trace_id 和 service.name 供链路追踪对齐
ELK 中做跨服务问题定位，依赖 trace_id 和 service.name 字段与 APM（如 Jaeger、SkyWalking）打通。zap 本身不自动携带这些，需手动注入或封装。
- 在 HTTP middleware 或 RPC 入口处从 context 提取
trace_id（例如从req.Header.Get("X-Trace-ID")），存入context.Context，再通过logger.With(...)构建带上下文的子 logger - 全局 service 名建议从环境变量读取：
os.Getenv("SERVICE_NAME")，硬编码会导致部署多实例时字段冲突 - 不要在每条日志里重复写
service.name—— 用logger.With(zap.String("service.name", svcName))创建一次子 logger 复用 - 若用 OpenTelemetry，可结合
otelzap（go.opentelemetry.io/contrib/bridges/otelzap）自动注入 trace 相关字段
Logstash 配置中哪些点容易漏掉导致解析失败
即使 Go 端输出了标准 JSON，Logstash 若配置不当，仍会把整行当字符串塞进 message 字段，JSON 字段全丢。
- input 插件必须设
codec => json，不能用plain或默认 codec - filter 中禁用所有
grok，除非你真需要从 message 里二次提取 —— 结构化日志不需要 grok - 确认日志文件每行只有一个 JSON 对象（zap 默认满足），禁止换行符出现在
msg值里（可用strings.ReplaceAll(msg, " ", "\n")预处理） - Logstash 启动时加
-t参数验证配置语法，但不会校验 JSON 解析逻辑 —— 建议先用stdout { codec => rubydebug }看实际字段是否展开
典型 input 配置片段：
input {
file {
path => "/var/log/myapp/*.log"
start_position => "beginning"
codec => json
}
}
日志结构化不是“加上 JSON 就完事”，字段命名一致性、时间格式、trace 上下文传递、Logstash 解码链路，每个环节断了都会让 ELK 查不到东西。最容易被忽略的是：没做 logger.Sync() 导致进程崩溃时日志丢失，以及 Logstash 用了 plain codec 却以为自己在解析 JSON。 
