Vector是独立于Go应用的可观测性数据管道进程，需通过结构化日志格式（ISO8601时间、小写level、纯message）、权限配置（如usermod -aG myapp vector）、VRL安全表达式及网络地址正确性（如0.0.0.0而非127.0.0.1）实现高效清洗与转发。
Vector 不是 Go 项目的一部分，也不能“部署进 Go 代码里”——它是一个独立运行的可观测性数据管道进程，和你的 Go 应用并行存在。想让它高效清洗 Go 日志，关键不是集成，而是对齐日志格式、打通传输链路、避开常见权限与语义陷阱。
Go 日志输出必须满足 Vector 解析前提
Vector 本身不关心你用 log、zerolog 还是 slog，但它需要每条日志是结构化且字段可预测的。否则 parse_nginx_log! 这类函数会直接失败或静默丢弃。
- 强制包含
time（ISO8601 格式）、level（小写字符串如"info"）、message字段；level不能是INFO或Info - 避免在
message里塞 JSON 或嵌套结构——Vector 的parse_json!只能处理顶层字符串字段，不要让日志变成“JSON 套 JSON” - 若需 trace_id / span_id，必须显式注入，例如：
logger.With().Str("trace_id", span.SpanContext().TraceID().String()).Msg("request handled") - 推荐用
zerolog或slog输出 JSON 到文件或 stdout；log.Printf这类非结构化输出，Vector 得靠正则硬解析，性能差且易错
file source 读不到 Go 日志文件的三个真实原因
配置写了 include: ["/var/log/myapp/app.log"] 却没数据？大概率不是 Vector 配错了，而是 Linux 权限或路径语义问题。
-
vector进程默认以vector用户运行，而 Go 应用日志文件往往由root或应用用户创建，权限是640或600——必须把vector加入对应组：usermod -aG myapp vector -
read_from: "end"是生产默认值，但调试时你会“看不到历史日志”，临时改成"begin"才能验证是否真读到了 -
ignore_older: 86400判断依据是文件的mtime，不是日志时间戳；如果 Go 应用用lumberjack轮转，旧文件被重命名或删除，Vector 就认为“太老”而跳过——建议先关掉ignore_older排查
用 remap 做清洗时 VRL 表达式的典型坑
Vector 的清洗能力很强，但 VRL 不是 Go 也不是 JS，语法和行为边界很明确。写错一行就整个事件被 drop_on_error: true 吞掉，还不会报错到 console。
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
-
.status = to_int!(.status)中的!表示“失败即 abort”，但如果.status是空字符串或null，就会中止；更安全写法：.status = if exists(.status) && .status != "" { to_int(.status) } else { 0 } -
exists(.[field])检查字段是否存在，但exists(.user_agent)对"user_agent": null返回true——要同时判空：exists(.user_agent) && .user_agent != null - 字段名含点号（如
http.request.path）必须用方括号访问：.[\"http.request.path\"]，直接写.http.request.path会解析成嵌套对象，不存在就 panic -
abort()抛出错误后事件直接终止，不会走到后续语句；想记录错误再丢弃，得用error = ...+log_error(...)+drop()
转发到远端 sink（如 ES/Kafka）连不上时先看这三点
本地 console sink 能出数据，但发不到 elasticsearch 或 kafka？别急着调 TLS，先确认网络层最基础的通路。
- 服务端 address 写成
"127.0.0.1:9200"→ 只监听回环，Go 应用和 Vector 在不同容器或主机时必然失败；必须用"0.0.0.0:9200"或具体网卡 IP - Kafka sink 的
bootstrap_servers必须写 broker 真实可路由地址（如"kafka-01.internal:9092"），不能写"localhost:9092"——容器内 localhost ≠ 宿主机 localhost - ES sink 默认走 HTTP，但很多集群启用了 HTTPS；漏配
tls.enabled: true会导致连接被 reset，日志只显示connection refused，实际是 TLS 握手失败
真正难的不是写对第一版配置，而是当 Go 应用滚动发布、日志轮转策略变更、或 Vector 升级到新版本时，read_from 语义、ignore_older 判定逻辑、VRL 函数签名都可能悄悄变化——每次变更后，必须用最小配置（file → console）回归验证通路，而不是直接上生产 pipeline。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
