必须将github copilot服务日志强制规范为结构化json格式，并注入service、environment、timestamp（iso 8601）、level四大elk元字段，否则logstash无法解析导致_unparsed或@timestamp缺失。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
要让GitHub Copilot相关服务（如Copilot CLI、Metrics Viewer或自建代理）产生的日志能被ELK Stack直接消费并正确解析，必须将原始日志强制规范为结构化JSON格式，且字段命名、时间戳格式、层级嵌套需与Logstash grok或json过滤器严格对齐，否则Kibana中将出现大量_unparsed或@timestamp缺失记录。
统一日志输出格式：强制启用JSON结构化
在Copilot CLI或自托管服务启动时，通过环境变量覆盖默认文本日志行为。执行以下命令启动服务：
copilot --log-format json --log-level info
这一步不可跳过——默认的console日志是纯文本，Logstash无法自动识别level、service、timestamp等语义字段。若省略--log-format json，后续所有ELK配置都将失效。
对于基于Node.js的Copilot Metrics Viewer服务，在启动脚本中追加NODE_OPTIONS环境变量：
NODE_OPTIONS='--trace-warnings' NODE_ENV=production npm start 2>&1 | pino --transport ./pino-pretty.js --level info --timestamp
注意：必须使用pino或winston等支持JSON输出的logger库，不能依赖console.log直接打印对象——后者会触发toString()导致context字段丢失。
注入关键ELK元字段
仅格式为JSON还不够。Logstash通常依赖固定字段名做路由和索引，必须显式注入以下4个核心字段：
① 【service】：设为"copilot-cli"、"copilot-metrics-viewer"或"copilot-proxy"，不可用动态主机名或进程ID替代；
② 【environment】：设为"production"、"staging"或"development"，该字段将用于Kibana多环境仪表盘切片；
③ timestamp：必须为ISO 8601格式（如"2026-05-29T08:14:22.345Z"），禁止使用本地时区或Unix毫秒时间戳；
④ level：仅接受"debug"、"info"、"warn"、"error"、"fatal"五种值，大小写敏感，其他值（如"WARNING"）将被Logstash丢弃。
示例有效日志行：
{"timestamp":"2026-05-29T08:14:22.345Z","level":"info","service":"copilot-cli","environment":"production","message":"Session started with model gpt-4o","context":{"session_id":"sess_abc123","user_id":"u_xyz789"}}
规避常见字段陷阱
方法一：禁用日志中的特殊字符转义
当context字段含换行符或双引号时，部分logger会自动转义为\u000a或\"，导致Logstash json filter解析失败。在pino中需显式关闭：
审计 GitHub Actions 工作流文件的密钥泄露风险，例如 pull_request_target 密钥使用、密钥回显命令及未固定版本的 Action 密钥传递。
pino({transport:{target:'pino-pretty'},base:{},stringify:true})
方法二：剥离非标准嵌套
Copilot CLI默认可能输出{error:{stack:"..."}}结构，但ELK最佳实践要求错误信息扁平化。需在Logstash filter中用mutate+split重写：
mutate { add_field => { "[error][message]" => "%{[error][message]}" } }
方法三：强制补全缺失字段
某些低频日志（如SIGTERM捕获）可能漏掉service或environment。在Logstash input插件后立即插入filter：
if ![service] { mutate { add_field => { "service" => "copilot-unknown" } } }
这一步必须放在filter链最前端，否则后续条件判断会因字段不存在而跳过。
验证日志是否达标
启动服务后，实时抓取首10条日志并检查：
tail -n 10 ~/.copilot/logs/session-store.log | jq -r '.timestamp, .level, .service, .environment' | head -n 4
输出应严格为四行，依次为ISO时间戳、小写level值、service字符串、environment字符串。若出现null、空行或格式错误，说明JSON序列化层未生效。
将任意一条日志粘贴至https://jsonlint.com/校验语法有效性——任何JSON解析错误都会导致整条日志被Logstash打入dead_letter_queue索引。
最后，在Kibana Dev Tools中执行：
GET /_cat/indices?v&s=docs.count:desc
确认copilot-*索引的docs.count持续增长，且没有copilot-dlq-*索引出现。
