FrankenPHP容器日志需改输出方式并适配采集：强制PHP错误日志写stdout、Caddy启用JSON访问日志、统一用Monolog+JsonFormatter输出；K8s中Filebeat/Promtail通过/var/log/pods/路径采集，开启json.keys_under_root:true，注入service标签，清理ANSI控制符。
FrankenPHP 默认把日志写到 stderr（即容器标准错误流），不生成本地文件，所以不能直接用 Filebeat 监控日志文件。想接入 ELK 或 Loki，必须从「日志源头输出方式」和「采集层适配」两头同时调整。
FrankenPHP 容器里怎么让日志可被采集
默认的 php.ini 和 Caddy 配置不会把 PHP 错误或访问日志结构化输出。你得主动改两处：
- 在
Dockerfile或启动脚本中，确保error_log = syslog或重定向到stdout：比如加一行RUN echo "error_log = /proc/1/fd/1" >> $PHP_INI_DIR/php.ini，强制 PHP 错误输出到容器 stdout - 修改 FrankenPHP 的 Caddy 配置（
Caddyfile），启用结构化访问日志：在log指令里指定format json，例如：log {<br> format json<br>} - 避免用
error_log("msg")原生函数裸写——它输出的是纯文本，无法被 JSON 解析器识别；统一走 Monolog +StreamHandler('php://stdout')，并设置JsonFormatter
Filebeat 怎么采集 FrankenPHP 的 stdout 日志
在 Kubernetes 环境下，/var/log/pods/ 下的日志是软链到容器 stdout 的符号链接，Filebeat 或 Promtail 能直接读。但注意路径匹配规则：
- 确认你的 DaemonSet 中
filebeat.yml或promtail.yaml的paths包含类似/var/log/pods/*frankenphp*/**/*.log的通配（不是/var/log/containers/，那个是旧式 Docker 路径） - 启用 JSON 解析时，
json.keys_under_root: true必须打开，否则 Monolog 输出的 JSON 会被当成普通字符串塞进message字段 - 给每条日志打上服务标签：用
fields或pipeline_stages注入service: "frankenphp-api"、env: "prod"，否则 Kibana/Loki 里无法按服务过滤
Logstash 还是直接发给 Elasticsearch？
如果你用的是 ELK，Logstash 不是必需的。FrankenPHP 输出的已经是结构化 JSON，Filebeat 的 processors 就能完成字段增强：
立即学习“PHP免费学习笔记（深入）”；
- 用
add_fields补全host.name、kubernetes.namespace等上下文 - 用
dissect或convert处理非标准字段，比如把level字符串转成小写，避免 Kibana 里出现"ERROR"和"error"两种值 - 如果用了 Logstash，别再用
grok解析——它会把已有的 JSON 当字符串二次解析，导致嵌套混乱；直接用json编解码器 +date过滤器即可 - 对敏感字段（如
password、auth_token），优先在 Filebeat 层用redactprocessor 脱敏，比 Logstash 更早拦截，也更省资源
Loki 的配置要点（比 ELK 更轻量）
Loki 不索引日志内容，只索引 labels，所以字段设计直接影响查询效率：
- Promtail 的
scrape_configs中，static_configs.labels至少包含job、service、env；不要往 label 里塞动态值（比如user_id），否则 label 组合爆炸 - 用
pipeline_stages提取关键字段作为 labels：比如从 Monolog 的context里抽request_id，再用labelsstage 把它变成 label，这样就能用{service="frankenphp-api"} | logfmt | request_id="abc123"查整条链路 - Loki 不支持全文搜索，所以
message字段仍要保留完整内容；但不要依赖它做聚合——聚合必须靠 label - 如果 FrankenPHP 容器启用了
HTTP/3，Caddy 访问日志里的proto字段会是h3，这个值可以作为 label 用于分析协议分布
最易被忽略的一点：FrankenPHP 的 stderr 日志默认带 ANSI 颜色控制符（比如 \u001b[31m），Filebeat 或 Promtail 不处理的话，这些字符会污染 JSON 结构，导致解析失败或字段错位。务必在采集器配置里开启 ignore_older 或用 decode_json_fields 前先清理控制符。
