beego默认日志为纯文本，必须改造为rfc3339时间格式的合法json（含time、level、msg等字段），logstash配置json codec跳过grok，es需预设字段类型，filebeat直连更轻量但须处理换行。
Beego 默认日志是纯文本、无结构、不带 trace_id，直接喂给 Logstash 会导致字段提取失败、时间解析错乱、Kibana 里查不到 status 或 latency 这类关键字段。必须先让 Beego 输出结构化日志，再对接 ELK —— 否则后续所有配置都是在补漏洞。
Beego 应用端：强制输出 JSON 格式日志
Beego v2.x 默认使用 log 包，不支持原生 JSON 输出。需替换为 github.com/astaxie/beego/v2/logs 并自定义 writer：
- 禁用默认 console/file writer，改用自定义
JSONWriter（继承logs.WriterInterface） - 每条日志必须包含
time（RFC3339 格式）、level（小写字符串）、msg、file、line，建议额外加app和trace_id字段 - 不要用
fmt.Sprintf拼接日志内容，否则 JSON 解析会因引号/换行崩溃；用json.Marshal封装整个 map - 示例关键片段：
type JSONWriter struct{}实现WriteMsg方法时，构造：data := map[string]interface{}{"time": time.Now().Format(time.RFC3339), "level": level, "msg": msg, "file": file, "line": line, "app": "user-service"}
Logstash 配置：跳过 grok，直用 json codec
如果 Beego 日志已是合法 JSON，grok 不仅多余，还会因字段名大小写、嵌套层级导致解析失败或丢字段。Logstash 输入层应直接信任源头格式：
- input 中必须设
codec => json，且确保日志行末无多余空格或控制字符（Beego 写入时用io.WriteString(w, string(b)+" ")而非fmt.Fprintln） - filter 只做必要增强：用
date插件重写@timestamp（基于time字段），用mutate添加固定字段如env => "prod" - 避免在 filter 里用
split或dissect处理已结构化的 JSON，这会破坏原始字段类型（比如把数字转成字符串） - 典型 input 配置：
input { file { path => "/opt/app/logs/app.json" codec => json } }
Kibana 索引模式匹配与字段类型陷阱
即使日志成功进 Elasticsearch，Kibana 也可能显示字段为空或聚合异常 —— 多半是 mapping 自动推断出错：
- 首次写入时，ES 会根据第一条日志字段值自动设 type，比如
status: "200"被判为text，后续无法做数值聚合；必须提前在 index template 中声明status为keyword或long - Beego 日志里的
latency（毫秒数）若被识别为text，Kibana 的“平均响应时间”图表将报错Cannot aggregate a string field - 解决方案：在 Logstash output 中指定
index => "beego-logs-%{+YYYY.MM.dd}"，然后在 Kibana Stack Management → Index Patterns 里手动创建beego-logs-*模式，并勾选Advanced options → Index pattern contains time-based data，确保时间字段选对time而非@timestamp
Filebeat 替代 Logstash 直读文件的实操权衡
Logstash 占用内存大、启动慢，而 Beego 日志是本地文件，用 Filebeat 更轻量可靠：
- Filebeat 配置只需三段：
filebeat.inputs指向/opt/app/logs/app.json，processors加add_host_metadata，output.elasticsearch直连 ES - 但注意：Filebeat 默认按行读取，若 Beego 日志中某条含换行符（比如 error stack trace），会拆成多条，破坏 JSON 结构 —— 必须在 Beego 端用
strings.ReplaceAll(err.Error(), " ", "\n")预处理 - 如果 Beego 日志已带
trace_id，Filebeat 可通过processors.dissect提取并提升为顶级字段，比 Logstash 的 grok 更快更稳 - 生产环境优先走 Filebeat → ES 直连，Logstash 仅用于需要复杂条件路由或字段脱敏的场景
真正卡住落地的，往往不是组件安装或端口打通，而是 Beego 日志第一行是否合法 JSON、ES mapping 是否在首条数据写入前就锁定了字段类型、Kibana 里选的时间字段是不是你代码里写的那个 time —— 这三个点漏掉任何一个，后面调一整天都看不到正确数据。
