php日志怎么对接elk_stack_filebeat配置【教程】-php教程-PHP中文网

PHP日志应写为单行JSON格式，用Filebeat采集并启用json.keys_under_root，Logstash需用date插件将timestamp转为@timestamp，并统一全链路时区。

php日志怎么对接elk_stack_filebeat配置【教程】

PHP 日志直接写入文件后，用 Filebeat 采集并推给 Logstash/Elasticsearch 是最常见、也最稳妥的 ELK 接入方式。不建议 PHP 应用直连 Logstash 或 ES（网络不稳定、无缓冲、易丢日志），Filebeat 的轻量、可靠、背压控制才是生产首选。

PHP 日志格式必须带时间戳和 JSON 结构

Filebeat 默认按行切分日志，如果 PHP 写的日志是纯文本（比如 error_log() 默认格式），Logstash 很难稳定解析字段。必须让每条日志是一行合法 JSON：

用 error_log() + json_encode() 手动写：确保 JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES，避免换行或引号破坏单行结构

更推荐用 Monolog + JsonFormatter，例如：

$handler = new StreamHandler('/var/log/php/app.log');
$handler->setFormatter(new JsonFormatter(JsonFormatter::BATCH_MODE_JSON));
$log = new Logger('app');
$log->pushHandler($handler);

关键字段至少包含：timestamp（ISO8601 格式，如 "2024-05-20T14:23:15+08:00"）、level、message、context（可选）——Logstash 后续靠这些做过滤和高亮

Filebeat 配置要禁用 multiline 并启用 JSON 解析

PHP 每条日志已是一行 JSON，开启 multiline 反而会把多行拼成一条，导致 JSON 解析失败。必须显式关闭，并启用 json.keys_under_root：

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

在 filebeat.inputs 中设置：

input_type: log
paths:
  - /var/log/php/*.log
json.keys_under_root: true
json.overwrite_keys: true
json.add_error_key: true
multiline.pattern: '^[[:space:]]'
multiline.negate: true
multiline.match: after

上面 multiline.* 三行只是保险起见（防极少数异常换行），真正起作用的是前四行：让 Filebeat 把 JSON 字段直接提升到根层级，timestamp 才能被 Logstash 或 ES 识别为 @timestamp
务必确认 json.message_key 不设 —— 否则 Filebeat 会把整个 JSON 当作 message 字符串，丢失结构化能力

Logstash filter 必须补全 @timestamp 并清理冗余字段

即使 PHP 日志里有 timestamp 字段，Logstash 默认仍用接收时间作为 @timestamp，搜索和图表会错乱。必须用 date 插件覆盖：

filter 段示例：

filter {
  date {
    match => ["timestamp", "ISO8601"]
    target => "@timestamp"
  }
  mutate {
    remove_field => ["timestamp", "host", "offset"]
  }
}

注意 match 值必须和 PHP 实际输出的格式严格一致；如果 PHP 用 date(DATE_ISO8601)，它末尾带空格和时区缩写（如 "2024-05-20T14:23:15+0800"），就得写 "YYYY-MM-dd'T'HH:mm:ssZZ"
remove_field 清掉原始 timestamp，避免和 @timestamp 冲突；host 和 offset 是 Filebeat 自带的元数据，业务无关，留着占存储