mongodb 5.0中ttl索引需顶层date字段，否则失效；须先标准化时间字段为log_time（utc datetime），再建单字段或复合ttl索引，并通过getindexes()和serverstatus()验证生效。
在MongoDB 5.0中为海量日志集合配置TTL索引时，若未统一时间字段结构或误用嵌套路径，会导致索引完全失效，后台线程不触发清理，磁盘空间持续膨胀直至告警。
确认日志时间字段是否满足TTL前提
进入mongosh，执行 db.logs.findOne() 查看任意一条日志文档结构。
检查时间字段是否存在、是否为Date类型、是否位于顶层：若字段名是 @timestamp 或 metadata.ts 或值为字符串（如 "2026-09-07T14:22:31Z"），则【不满足TTL索引前提】——TTL索引只接受顶层、Date类型的字段，点号路径和字符串均无效。
这一步必须做，跳过将导致后续所有索引操作白费。
入库前强制标准化时间字段
在Python写入逻辑中，用 dateutil.parser.parse() 解析任意格式时间字符串，再转为UTC datetime 对象：
from dateutil import parser<br>import pytz<br><br>raw_time = doc.get("time") or doc.get("@timestamp") or doc.get("ts")<br>if raw_time:<br> dt = parser.parse(raw_time).astimezone(pytz.UTC)<br> doc["log_time"] = dt # 强制存为顶层Date字段<br> del_keys = [k for k in ["time", "@timestamp", "ts"] if k in doc]<br> for k in del_keys:<br> del doc[k]
不要依赖MongoDB自动转换——它不会把字符串字段转成Date；也不要用 datetime.fromisoformat() 处理带时区偏移的字符串，它会抛异常。
创建高效TTL索引
方法一：单字段TTL（适用于无设备/服务维度区分的日志）
执行：db.logs.createIndex({"log_time": 1}, {expireAfterSeconds: 86400}) ——保留最近1天。
方法二：复合TTL（推荐，用于按服务/模块隔离清理）
先确保每条日志含顶层字段 service（如 "auth", "payment"），再建索引：db.logs.createIndex({"service": 1, "log_time": 1}, {expireAfterSeconds: 2592000}) ——按服务分片过期，避免全量扫描。
【注意】不能对已有字符串时间字段直接建索引，必须先完成第二步的数据清洗与字段重写。
验证TTL索引是否生效
第一步：查索引定义
db.logs.getIndexes()，确认输出中存在类似：{"key": {"log_time": 1}, "expireAfterSeconds": 86400} 或 {"key": {"service": 1, "log_time": 1}, "expireAfterSeconds": 2592000}
第二步：查后台清理统计
db.serverStatus().metrics.ttl，观察 passes 是否随时间递增、deletedDocuments 是否非零。
第三步：人工触发一次扫描（可选）
执行 db.runCommand({ "compact": "logs" }) 不会删数据，但能促使TTLMonitor下一轮更快识别到新索引。
