关键是使用escape=json参数在http块定义log_format，数值字段不加引号、字符串字段加双引号，access_log显式引用该格式名，并确保路径绝对且权限正确，即可输出合法json日志供elk直接解析。

要让 Nginx 的 log_format 输出标准 JSON 格式日志，关键是确保字段名明确、值合法（无换行/未转义引号）、结构扁平，且与 Logstash 或 Filebeat 的解析规则对齐。不需要额外插件，纯原生配置即可实现 ELK 无缝接入。

定义合规的 JSON 日志格式

Nginx 原生不支持自动 JSON 转义，必须手动处理特殊字符（如双引号、换行），否则会导致 Logstash 解析失败或丢日志。推荐使用 escape=json（Nginx 1.11.8+）自动转义：

• 在 http 块中定义 log_format，用 escape=json 保证字段安全：

log_format json_log escape=json '{'
  '"time_local":"$time_local",'
  '"remote_addr":"$remote_addr",'
  '"request_method":"$request_method",'
  '"request_uri":"$request_uri",'
  '"status":$status,'
  '"body_bytes_sent":$body_bytes_sent,'
  '"http_referer":"$http_referer",'
  '"http_user_agent":"$http_user_agent",'
  '"request_time":$request_time,'
  '"upstream_response_time":"$upstream_response_time"'
'}';

注意：$status 和 $body_bytes_sent 不加引号（数值类型）；$upstream_response_time 可能为空，但 Nginx 会输出短横线 -，Logstash 可后续过滤或默认为 0；所有字符串字段必须用双引号包裹，且由 escape=json 自动处理内部引号和控制符。

启用 JSON 日志并验证输出

在 server 或 location 块中启用该格式，并重定向 access_log 到文件或 syslog：

• 写入本地文件（便于调试）：

access_log /var/log/nginx/access-json.log json_log;

重启 Nginx 后，执行一次请求，检查日志是否为单行合法 JSON（可用 jq . /var/log/nginx/access-json.log | head -1 验证）。常见错误包括：字段名漏引号、数值字段加了引号、escape=json 拼写错误、Nginx 版本过低不支持该参数。

Json Schema Toolkit

使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。

下载

Logstash 或 Filebeat 端无需 grok 解析

因日志已是标准 JSON，Logstash 可直接用 json 过滤器提取字段：

filter {
  json {
    source => "message"
  }
}

Filebeat 更简单，在 filebeat.yml 中开启 JSON 解析：

filebeat.inputs:
- type: filestream
  paths:
    - /var/log/nginx/access-json.log
  json.keys_under_root: true
  json.add_error_key: true
  json.message_key: "message"

这样所有字段（如 status、request_time）将直接成为 Elasticsearch 文档的顶层字段，Kibana 中可直接用于可视化或筛选，无需编写 grok 表达式。

补充建议：时间戳与时区统一

Nginx 默认 $time_local 是服务器本地时间，Elasticsearch 推荐使用 ISO8601 UTC 时间。可改用 $time_iso8601（已带时区信息），或在 Logstash 中用 date 过滤器标准化：

• 修改 log_format 中时间字段为："time_iso8601":"$time_iso8601"
• Logstash date 过滤示例（若仍用 $time_local）：

date {
  match => ["time_local", "dd/MMM/yyyy:HH:mm:ss Z"]
  target => "@timestamp"
}

确保 Kibana 中时间范围筛选准确，避免日志“消失”在错误时区里。