直接用elastic/v7客户端连不上elasticsearch 8.x，因其默认启用https和api key认证，而v7不支持tls 1.3握手及自动添加authorization: apikey头，易报connection refused或401错误。
为什么直接用 elastic/v7 客户端连不上 Elasticsearch 8.x？
因为 Elasticsearch 8.x 默认启用 HTTPS 和基于 API Key 的认证，而旧版 elastic/v7（如 v7.0.22）不支持 TLS 1.3 握手和自动处理 Authorization: ApiKey 头。你大概率会遇到 connection refused 或 401 Unauthorized，即使 IP 和端口都对。
实操建议：
- 用官方维护的
github.com/elastic/go-elasticsearch/v8，它原生支持 ES 8.x 的安全机制 - 禁用自签名证书校验仅限开发环境：初始化 client 时传入
elasticsearch.Config{Transport: &http.Transport{TLSClientConfig: &tls.Config{InsecureSkipVerify: true}}} - 生产必须用真实证书，并通过
elasticsearch.Config{Username: "elastic", Password: "xxx"}或更安全的APIKey: "base64-encoded-string"
怎么把 Go 日志结构体高效写入 Elasticsearch？
别手动拼 JSON 字符串或用 map[string]interface{} —— 类型丢失、字段名大小写易错、无编译期检查。直接定义结构体并用 json tag 控制序列化，再用 BulkIndexer 批量写入。
实操建议：
- 结构体字段加
json:"@timestamp"、json:"level"等 tag，对应 ES mapping 中的字段名 - 时间字段务必用
time.Time类型，ES 8.x 要求@timestamp是date类型，否则 bulk 写入会静默失败 - 用
elasticsearch.BulkIndexer替代单条Index()：设置NumWorkers: 4、FlushBytes: 5e6（5MB）、FlushInterval: 30 * time.Second - 注意：BulkIndexer 不会自动重试失败请求，需监听
indexer.Stats().Failed并做降级（比如落本地文件）
如何在 Go 里实现带高亮的全文检索并返回结构化日志？
ES 默认返回原始 _source，但高亮内容在 highlight 字段里，且字段名是字符串 key，不是嵌套结构。Go 客户端不会自动合并高亮到源数据中，得自己映射。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
实操建议：
- 查询时显式开启高亮：
"highlight": {"fields": {"message": {}}}，避免全字段扫描拖慢响应 - 定义响应结构体时，用
type SearchResponse struct { Hits struct { Hits []struct { Highlight map[string][]string `json:"highlight"` Source LogEntry `json:"_source"` } `json:"hits"` } `json:"hits"` } - 拿到结果后，手动把
hit.Highlight["message"][0]覆盖到hit.Source.Message上（如果业务需要前端展示高亮） - 分页慎用
from/size：超过 10000 条就触发query_phase_execution_exception，改用search_after+sort（比如按@timestamp降序）
为什么 Kibana 能搜到日志，但 Go 程序查不到？
最常见原因是索引名不一致或时间范围错位。Kibana 默认查 logs-*，而你的 Go 程序可能硬编码了 logs-2024.05.20；或者 ES 里文档的 @timestamp 是 UTC，但 Go 查询时用了本地时区构造 range 查询。
实操建议：
- 查索引是否存在：
GET /logs-*，确认实际索引名和文档数 - 用
GET /logs-*/_search?q=message:test在 Dev Tools 直接验证查询逻辑是否生效 - Go 构造 range 查询时，统一用
time.UTC：start := time.Now().Add(-1 * time.Hour).UTC() - 检查 mapping：运行
GET /logs-*/_mapping，确认message字段是text类型且"index": true，不是keyword
Elasticsearch 的 mapping 动态推断很隐蔽，字段第一次出现时类型就定死了。比如先写入 {"message": 123}，后面再写 {"message": "hello"}，后者会被丢弃——这个坑在日志场景特别容易踩。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
