.NET 8 WebAPI启用Elasticsearch安全后无法通过Serilog写入日志

针对Elasticsearch 8.12.2启用安全功能后，.NET 8 WebAPI无法通过Serilog写入日志的问题，从SSL证书验证、认证配置冲突、日志加载顺序、权限验证四个核心方向排查解决：

1. 解决SSL证书验证问题（最常见诱因） #

Elasticsearch 8.x默认生成自签名SSL证书，.NET HttpClient默认会拒绝信任这类证书，导致请求失败。提供两种处理方式：

方式1：禁用证书验证（仅开发环境使用） #

修改ConfigureElasticSink方法，添加证书忽略逻辑：

ElasticsearchSinkOptions ConfigureElasticSink(IConfigurationRoot configuration, string environment)
{
    return new ElasticsearchSinkOptions(new Uri(configuration["ElasticConfiguration:Uri"]))
    {
        ModifyConnectionSettings = x => x
            .BasicAuthentication("elastic", "password")
            .ServerCertificateValidationCallback((sender, cert, chain, errors) => true), // 跳过证书验证
        AutoRegisterTemplate = true,
        IndexFormat = $"{Assembly.GetExecutingAssembly().GetName().Name.ToLower().Replace(".", "-")}-{environment.ToLower()}-{DateTime.UtcNow:yyyy-MM}",
        NumberOfReplicas = 1,
        NumberOfShards = 2
    }; 
}

方式2：导入证书到信任存储（生产环境推荐） #

1. 从Elasticsearch服务器导出PEM格式证书：

cd /path/to/elasticsearch/config/certs
openssl pkcs12 -in http.p12 -out http_cert.pem -clcerts -nokeys -passin pass:""

2. 将http_cert.pem复制到.NET项目，设置属性为复制到输出目录。
3. 修改代码加载证书：

ModifyConnectionSettings = x => x
    .BasicAuthentication("elastic", "password")
    .CertificateAuthority(new FileInfo("http_cert.pem"))

可通过openssl x509 -fingerprint -sha256 -in http_cert.pem -noout获取证书指纹，替换为CertificateFingerprint("指纹值")也可实现信任

2. 避免认证配置冲突 #

你的appsettings.json中Uri已包含elastic:password@，同时代码里又调用BasicAuthentication，会导致双重认证配置冲突。建议只保留一种方式：

修改appsettings.json移除Uri中的账号密码：

"ElasticConfiguration": {
  "Uri": "https://10.200.16.130:9200"
}

代码中的BasicAuthentication保留，配置更清晰。

3. 调整Serilog配置加载顺序 #

当前代码中ReadFrom.Configuration(configuration)在WriteTo.Elasticsearch之后，会导致配置文件设置覆盖代码逻辑，调整顺序确保代码配置生效：

Log.Logger = new LoggerConfiguration()
    .Enrich.FromLogContext()
    .Enrich.WithExceptionDetails()
    .Enrich.WithProperty("Environment", environment)
    .ReadFrom.Configuration(configuration) 
    .WriteTo.Elasticsearch(ConfigureElasticSink(configuration, environment)) // 移到ReadFrom之后
    .CreateLogger();

4. 验证Elasticsearch账号权限 #

确保elastic账号具备创建索引、写入文档的权限，用curl快速验证：

curl -u elastic:password -X POST "https://10.200.16.130:9200/test-index/_doc/1" -H "Content-Type: application/json" -d '{"message": "test"}' -k

返回created: true则权限正常，否则需检查Elasticsearch角色权限配置。

5. 启用Serilog调试日志 #

添加控制台输出，查看具体错误信息：

Log.Logger = new LoggerConfiguration()
    .Enrich.FromLogContext()
    .Enrich.WithExceptionDetails()
    .WriteTo.Console() // 控制台输出错误日志
    .WriteTo.Elasticsearch(ConfigureElasticSink(configuration, environment))
    .Enrich.WithProperty("Environment", environment)
    .ReadFrom.Configuration(configuration) 
    .CreateLogger();

运行WebAPI后，控制台会输出连接失败的具体原因（如证书错误、认证失败），快速定位问题。

内容的提问来源于stack exchange，提问作者Abu Ahmed