golang应用应将日志输出到stdout/stderr，由fluent bit等采集器统一处理并写入elasticsearch；禁止go直连es写日志，需配置fluent bit解析json、注入k8s元数据、校准时区、覆盖@timestamp，并在es预设索引模板规范字段类型。
直接上结论：Golang 应用本身不需要“部署对接 Elasticsearch”，真正要对接的是日志采集层（如 Fluent Bit / Filebeat），而不是业务代码。强行在 Go 程序里直连 ES 写日志，会引入耦合、失败重试、序列化、连接池管理等一堆运维负担，且违背云原生日志设计原则。
Go 应用该往哪写日志
标准输出（os.Stdout / log.Println）是唯一推荐路径。Kubernetes 会自动把 stdout/stderr 重定向为节点上的 /var/log/containers/*.log 文件，Fluent Bit 等 agent 就靠扫描这个目录采集日志。
- 不要用
log.SetOutput指向文件（容器销毁后日志就丢） - 不要用第三方库（如
elastic/go-elasticsearch）直接 POST 到 ES 的/_bulk接口 - 如果必须结构化日志，用 JSON 格式打印到 stdout，例如：
json.Marshal(map[string]interface{}{"level": "info", "msg": "user login", "uid": 123}) - 避免多行日志（如 panic 堆栈）被拆成多条记录——Fluent Bit 默认按换行切分，需启用
Parser插件识别堆栈起始行
Fluent Bit 配置里怎么处理 Go 日志
关键在 input + filter 阶段：先读容器日志文件，再解析 JSON 字段并打标。
-
Input必须指向/var/log/containers/*.log，且Tag建议设为kube.*方便后续路由 -
Filter加parser插件，匹配 Go 输出的 JSON 行：Regex ^(?<time>[^ ]+) (?<stream>stdout|stderr) (?<log>{.*})$</log></stream></time> - 再加
lua或modify插件补字段，比如从 Kubernetes 元数据里注入namespace、pod_name，否则日志进 ES 后查不出来源 - 注意时区：Go 默认用本地时区打时间戳，而 Fluent Bit 解析时默认用 UTC；要么 Go 用
time.Now().UTC()，要么在 Fluent Bitparser里显式指定Time_Key time+Time_Format %Y-%m-%dT%H:%M:%S.%L%z
ES 索引模板和字段映射要注意什么
Go 日志进 ES 后，如果 level、trace_id 这类字段被当成 text 类型，就无法用于聚合或精确匹配查询。
- 提前在 ES 里创建索引模板（Index Template），对常见字段强制指定类型：
level→keyword，duration_ms→long，timestamp→date - 别依赖 ES 的 dynamic mapping：JSON 日志里第一次出现
"level": "error"会被建为text，后面再传"level": 500就会写入失败（类型冲突） - 如果用
fluent-bit的esoutput 插件，开启Logstash_Format On并配Logstash_Prefix kube-logs，它会自动按天建索引（如kube-logs-2026.09.20），方便冷热分离
最容易被忽略的是日志时间戳归属问题：Fluent Bit 默认用自己读文件的时间作为 @timestamp，但你要查的是 Go 程序实际打印日志的时刻。必须在 parser 阶段把原始 JSON 里的时间字段（比如 ts 或 time）提取出来，再用 record_modifier 插件覆盖 @timestamp，否则所有分析都基于采集时间而非业务时间。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
