docker容器日志收集与分析的核心是统一采集分散的stdout/stderr日志，需分三步：选对日志驱动（如生产用fluentd/gelf避免本地堆积）、用轻量代理（fluent bit/filebeat）实时采集并结构化、接入elk/loki等平台实现高效检索与可视化，辅以docker logs命令快速排查。
Docker 容器日志收集与分析，核心是把分散在各容器里的 stdout/stderr 日志“收上来、理清楚、查得快”。它不是单个命令能搞定的事，而是一套配合使用的机制，从采集源头到最终查看，每个环节都影响效果。
选对日志驱动，是第一步也是最关键的一步
Docker 默认用 json-file，日志就躺在宿主机 /var/lib/docker/containers/xxx/xxx-json.log 里。这适合本地调试，但不解决集中化问题。生产环境要根据规模选：
- 单机稳定运行 → 用
local驱动，自带轮转（max-size=10m+max-file=3），防磁盘撑爆 - 多节点集群 → 用
fluentd或gelf驱动，把日志直接推给后端服务，不落地本地 - 已有 syslog 基础设施 →
syslog驱动最省事，无缝对接 - 上云且用 AWS →
awslogs直接发到 CloudWatch
启动时加参数就能切换，比如：
docker run -d --log-driver=fluentd --log-opt fluentd-address=192.168.1.100:24224 nginx
用轻量代理统一采集，避免节点上堆重服务
别让每个宿主机都跑 Logstash 这类重型组件。推荐 Fluent Bit（比 Fluentd 更轻）或 Filebeat：
- Fluent Bit 占用内存小、吞吐高，支持 Docker socket 实时发现容器，自动抓日志
- Filebeat 配置简单，原生支持 Elasticsearch 输出，适合已有 ELK 的团队
两者都能过滤、打标、解析 JSON，还能处理多行日志（比如 Java 异常堆栈），关键配置项是multiline.pattern和multiline.negate。
集中存储和查询，按需选平台
- 要全文检索+复杂聚合 → Elasticsearch + Kibana（ELK），功能全但资源消耗大
- 要轻量+云原生适配+成本低 → Loki + Grafana，日志按标签索引，查起来快，LogQL 简洁
- 要企业级权限+审计+报表 → Splunk（需授权），开箱即用但贵
不管选哪个，日志进来的第一件事是结构化：把时间戳、服务名、容器 ID、日志级别抽出来，否则搜 “ERROR” 会捞出所有服务的噪音。
日常排查，命令得用熟
不用等平台建好，Docker 自带工具就能快速响应：
-
docker logs -f --tail 50：实时看最新 50 行，加-t显示时间戳 -
docker logs --since 30m：查最近半小时的日志 -
docker logs --since "2026-07-29T14:00:00" --until "2026-07-29T15:00:00"：精确到分钟的时间段筛选 -
docker inspect | jq '.HostConfig.LogConfig'：确认当前容器用的是哪个驱动、配了哪些选项
不复杂但容易忽略
