应使用 zap 替代 log 包实现结构化日志：zap 性能高、原生支持字段、默认禁用反射；推荐 newZapLogger 配合 lumberjack 轮转，配置 filebeat 的 close.renamed 和 close.inactive 避免丢日志，统一 UTC 时间戳并注入 POD_NAME 等标识确保多实例日志可追溯。
用 zap 替代 log 包实现结构化日志输出
Go 标准库的 log 包只支持字符串格式，无法直接打结构化字段（如 user_id=123、duration_ms=42），这会让后续用 filebeat 或 fluent-bit 做日志解析时必须写正则，极易出错。生产环境应优先选用 zap —— 它性能高、字段原生支持、且默认禁用反射，避免运行时开销。
实操建议：
- 用
zap.NewProduction()获取预设 JSON 编码器 + 时间/级别/调用栈字段，适合直接对接日志收集 Agent - 若需控制日志路径或轮转，不要自己拼接
os.File，改用lumberjack.Logger封装后传给zapcore.AddSync - 避免在日志中传入未处理的 error 对象：用
zap.Error(err)而非zap.String("err", err.Error())，否则堆栈丢失 - 全局 logger 应通过
zap.ReplaceGlobals()注入，方便单元测试中替换为zaptest.NewLogger()
import (
"go.uber.org/zap"
"gopkg.in/natefinch/lumberjack.v2"
)
func newZapLogger() (*zap.Logger, error) {
w := zapcore.AddSync(&lumberjack.Logger{
Filename: "/var/log/myapp/app.log",
MaxSize: 100, // MB
MaxBackups: 7,
MaxAge: 28, // days
})
core := zapcore.NewCore(
zapcore.NewJSONEncoder(zap.NewProductionEncoderConfig()),
w,
zap.InfoLevel,
)
return zap.New(core), nil
}
让日志文件可被 filebeat 安全读取
filebeat 默认使用 inotify 监听文件变化，但 Go 程序调用 lumberjack 轮转时会 rename 文件，导致 inotify 句柄失效、丢日志。这不是 bug，是机制冲突。
解决方式只有两个可靠选择：
立即学习“go语言免费学习笔记（深入）”；
- 启用
filebeat的close_inactive+close_renamed配置，强制它主动关闭旧文件句柄 - 改用
tail -n +0 -F模式（即scan_frequency+close_eof），但仅适用于低频写入场景 - 关键：确保
filebeat运行用户对日志目录有读权限，且不与 Go 进程共用同一用户（避免 umask 干扰）
典型 filebeat.inputs 片段：
filebeat.inputs:
- type: filestream
enabled: true
paths:
- /var/log/myapp/app.log
close.renamed: true
close.inactive: 5m
fields:
service: myapp
env: prod避免日志内容污染：过滤敏感字段与调试信息
开发阶段常把 http.Request.Header 或数据库 SQL 全量打到日志里，上线后不仅泄露 token、cookie，还会因日志体积暴涨拖慢 filebeat 吞吐。zap 本身不提供字段过滤，得靠封装。
推荐做法：
- 定义中间层函数，比如
LogRequest(c *gin.Context)，显式提取c.ClientIP()、c.Request.URL.Path、c.Request.Method，跳过Header和Body - 用
zap.Stringer包装敏感 struct，使其String()方法返回脱敏结果（如手机号显示为138****1234） - 禁止在生产环境启用
zap.DebugLevel；如果真要保留 debug 日志，单独配置一个异步 writer 写入不同文件，并限制其磁盘配额
多实例日志合并时注意时间戳与服务标识一致性
当多个 Go 实例（如 Kubernetes 多副本）共用同一套日志收集链路时，filebeat 会把不同 Pod 的 app.log 都发往同一 Kafka Topic 或 ES Index。若没加区分字段，查问题时根本分不清哪条日志来自哪个实例。
必须做两件事：
- 启动时从环境变量或 downward API 注入唯一标识，例如
POD_NAME，并作为fields固定写入每条日志 - 确保所有实例系统时钟同步（NTP），否则 ES 中按时间排序会错乱；可用
chrony替代ntpd提升精度 - zap 的
time.Now()默认用本地时区，建议统一设为 UTC：zap.NewProductionEncoderConfig().TimeKey = "ts"; cfg.EncodeTime = zapcore.ISO8601TimeEncoder
最容易被忽略的是：Kubernetes 中 containerd 默认启用 log_driver=cri，它会把 stdout 日志再转一道，造成时间戳重复、字段嵌套。除非你明确需要容器运行时日志，否则应关掉 cri 日志驱动，让 Go 应用直写文件再由 filebeat 采集。
