Go程序需通过Filebeat等采集器对接ELK，日志必须JSON格式输出到stdout，字段名用下划线、时间用RFC3339Nano，容器中禁写文件，Logstash须配置date filter校准时间并启用json codec。
Go 程序不能直接“对接 ELK”，必须通过中间采集器（如 Filebeat、Logstash 或 Fluent Bit）转发日志；否则会丢数据、卡协程、时间错乱，甚至被 ES 拒绝写入。
Go 日志必须输出 JSON 到 stdout 或文件，不能拼字符串
ELK 无法解析 log.Printf("user %d login", uid) 这类非结构化日志——它只会把整行塞进 message 字段，没法按 user_id 过滤或聚合。Logstash 的 json filter 也会因格式非法直接报 json parse error。
- 用
zerolog、zap或log/slog（Go 1.21+）替代标准log包 - 字段名必须是下划线命名、无空格无中文：
"user_id"✅，"用户ID"❌，"userId"❌（ES 7.0+ 默认禁用动态映射中的驼峰字段） - 时间字段必须设为
RFC3339Nano：zerolog.TimeFieldFormat = time.RFC3339Nano，否则 Logstash 的datefilter 对不齐时间戳 - 容器内一律
SetOutput(os.Stdout)；宿主机部署才考虑os.OpenFile写文件
Filebeat 是最稳的日志采集选择，别碰 Logstash file input
Logstash 的 file 插件在生产环境是反模式：轮转时丢日志、多实例竞争句柄、切文件瞬间漏行；而且 ES 7.0+ 默认关闭 type 字段，旧配置里 if [type] == "go-app" 会直接失效。
- 用
Filebeat替代：轻量、低资源、专为日志采集设计 -
paths配置必须精确匹配 Go 写的日志路径，比如/var/log/myapp/*.log，注意宿主机上Filebeat用户要有读权限 - 若日志含 panic 堆栈（多行），启用
multiline配置，以^time=或^{"level"为起始标识合并 - 用
lumberjack轮转时加force_close_files: true，防止轮转后旧文件句柄未释放导致丢日志
容器场景下，别写文件，只输出到 stdout
Docker 默认捕获 stdout/stderr，再经 json-file 驱动存为结构化 JSON；写文件反而要额外挂卷、处理权限、应对轮转，徒增故障点。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
- Go 程序启动时设置
slog.SetDefault(slog.New(slog.NewJSONHandler(os.Stdout, nil))) - 避免任何
os.OpenFile或log.SetOutput(f)—— 容器里没意义，还可能因权限失败 - 若需对接 Fluentd/Loki，用 Docker
--log-driver=fluentd或--log-driver=gelf，而不是让 Go 自己连 - Kubernetes 中推荐边车（Sidecar）模式：应用容器写
/var/log/app（EmptyDir），Filebeat容器挂同一目录读取
Logstash 处理 JSON 日志时，必须配 date filter 校准时间
Go 输出的 "time":"2026-04-06T20:12:00.123456789Z" 是字符串，ES 存的是 @timestamp 字段；不校准的话，所有日志都以 Logstash 接收时间为准，链路追踪和告警全乱。
- Logstash 配置里必须有
filter { date { match => ["time", "ISO8601"] target => "@timestamp" } } - 如果 Go 用的是
zerolog.TimeFieldFormat = time.RFC3339Nano，match 值就用"ISO8601"，别手写正则 - 确保 Logstash 输入插件（如
beats或tcp）的codec => json已启用，否则字段根本解析不出来 - ES 索引模板里提前定义好
user_id、trace_id等字段为keyword类型，避免被默认分词
真正容易被忽略的是时间字段的语义一致性：Go 输出的 time 字段、Logstash 解析出的 @timestamp、Kibana 里选的时间范围筛选器，三者必须指向同一物理时刻。一旦其中一环用本地时区、另一环用 UTC、还有一环靠 Logstash 收到时间自动打戳，整个链路分析就不可信。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
