Tomcat启动失败导致Elasticsearch收不到日志，根本原因是JAVA_HOME和CATALINA_HOME未正确定义或未生效：JAVA_HOME须指向真实存在的JDK 11+目录且版本匹配，CATALINA_HOME必须为解压后的绝对路径（禁用软链接），否则日志路径漂移、Filebeat采集失效。
Tomcat 环境变量配错，Elasticsearch 就收不到日志——不是 Filebeat 的问题，而是 JAVA_HOME 和 CATALINA_HOME 指向错误或未生效，直接导致 Tomcat 启动失败或日志路径不可控，后续所有采集都失效。
Tomcat 启动失败但没报错，JAVA_HOME 很可能没生效
常见现象：执行 catalina.sh start 后无反应，ps aux | grep java 查不到进程，logs/catalina.out 为空或只有一行“Using JAVA_HOME…”但没后续。这不是权限问题，而是 shell 读取的 JAVA_HOME 路径根本不存在，或者被其他脚本覆盖。
- 检查方式：在启动前运行
echo $JAVA_HOME，确认输出是真实存在的 JDK 目录（如/usr/lib/jvm/java-17-openjdk-amd64），不是/usr/java/jdk1.8.0_201-amd64这类旧路径或拼写错误 - 关键点：Tomcat 9+ 强制要求 JDK 11+，JDK 8 会静默退出；用
java -version验证实际版本，别信JAVA_HOME变量名 - 生效陷阱：在
/etc/profile.d/tomcat.sh中定义变量后，必须用source /etc/profile.d/tomcat.sh，且要确保该文件被 shell 加载（非 root 用户需检查~/.bashrc是否 source 了 profile.d）
CATALINA_HOME 必须指向解压后的完整目录，不能是软链接
Filebeat 采集日志依赖 logs/ 目录的绝对路径，而 Tomcat 内部通过 CATALINA_HOME 构造日志路径。如果 CATALINA_HOME 是软链接（如 /opt/tomcat → /opt/apache-tomcat-10.1.25），部分 JVM 启动逻辑会解析为真实路径，但 catalina.sh 中的 pwd 行为不一致，最终导致 logs 目录位置漂移。
- 验证方法：启动后执行
ps aux | grep catalina，找带-Dcatalina.home=的参数，看值是否和$CATALINA_HOME一致 - 安全做法：直接设为真实路径，例如
export CATALINA_HOME=/opt/apache-tomcat-10.1.25，避免任何ln -s - 影响范围：若路径不一致，
localhost_access_log.*.json可能写到别的地方，Filebeat 的paths配置就全失效
Filebeat 采集 JSON 日志时，pattern 字段必须严格匹配 Tomcat 的 AccessLogValve
Tomcat 输出的 JSON 访问日志字段名、引号、空格、时间格式，必须和 Filebeat 的 json.keys_under_root: true 解析逻辑完全对齐，否则 Kibana 里字段为空或解析成单个字符串。
- 典型错误：
pattern里用了双引号嵌套但没转义，导致 JSON 格式损坏；或@timestamp字段值含非法字符（如中文 Z 时区标识），ES 拒绝索引 - 推荐写法：用单引号包裹整个
pattern，内部双引号不转义，时间格式用%{yyyy-MM-dd HH:mm:ss.SSS Z}t，Z 替换为%{timezone}t更稳 - 调试技巧：先停掉 Filebeat，手动访问 Tomcat 一次，再用
tail -n1 logs/localhost_access_log.*.json看实际生成内容，复制进 JSONLint 验证合法性
Elasticsearch 接收不到数据？先查 filebeat logs 里的 Failed to connect to backoff
这不是网络不通的信号，而是 Filebeat 默认用 http://localhost:9200 连 ES，但多数部署中 ES 并不在 Filebeat 所在机器上，或启用了 HTTPS/认证，而配置里漏写了 hosts 或 username/password。
- 必改项：在
filebeat.yml的output.elasticsearch下明确写hosts: ["http://192.168.3.12:9200"]（替换成真实 ES IP），别留默认值 - 认证场景：ES 开了 security，必须加
username: "elastic"和password: "xxx"，且确保该用户有monitoring_user或kibana_system角色 - 隐蔽坑：ES 的
discovery.type: single-node在生产环境必须关，否则集群健康状态为yellow，Filebeat 会反复重试并丢日志
真正卡住的地方往往不是配置项本身，而是环境变量在不同 shell 层级间的传递断裂，或是 JSON 日志格式表面合法、实则字段名与 Logstash pipeline 不匹配。动手前，先用 echo $JAVA_HOME && echo $CATALINA_HOME 和 tail -f logs/localhost_access_log.*.json 确认两端输出一致，比反复调 Filebeat 配置更省时间。
