Windows环境Spring Boot项目ELK问题：Logstash找不到配置文件且无索引

1. 先解决Logstash找不到logstash.conf的核心问题 #

这是后续所有问题的根源，重点排查Docker路径挂载和容器内文件存在性：

• 检查docker-compose.yml中Logstash的volume配置：
  Windows下Docker挂载路径需用正斜杠，且确保本地文件路径正确。示例正确配置：

  services:
    logstash:
      image: docker.elastic.co/logstash/logstash:8.11.3
      volumes:
        # 本地logstash.conf路径 → 容器内Logstash默认pipeline目录
        - ./logstash/config/logstash.conf:/usr/share/logstash/pipeline/logstash.conf
      ports:
        - "5044:5044"
      depends_on:
        - elasticsearch
  

  若使用WSL2，需替换为WSL路径（如/mnt/c/your-project-path/logstash/config/logstash.conf），而非Windows原生的C:\xxx路径。
• 验证容器内文件是否存在：
  启动容器后执行命令：

  docker exec -it <logstash容器ID或名称> ls /usr/share/logstash/pipeline
  

  若输出不含logstash.conf，说明挂载失败，需修正路径。
• 查看Logstash日志定位错误：

  docker logs <logstash容器ID或名称>
  

  查找类似Could not find config file的报错，确认具体路径问题。

2. 确保logstash.conf语法正确且配置有效 #

文件存在后，语法错误会导致Logstash无法加载配置，进而无法创建索引：

• 测试配置语法：

  docker exec -it <logstash容器ID或名称> bin/logstash -f /usr/share/logstash/pipeline/logstash.conf --config.test_and_exit
  

  若有语法错误，会直接输出具体问题（如括号不匹配、字段错误）。
• 适配Spring Boot的示例配置：

  input {
    tcp {
      port => 5044
      codec => json_lines
    }
  }
  filter {
    # 解析Spring Boot的JSON格式日志
    if [message] =~ /^\{.*\}$/ {
      json {
        source => "message"
      }
    }
    # 添加自定义字段便于区分服务
    mutate {
      add_field => { "service" => "spring-boot-app" }
    }
  }
  output {
    elasticsearch {
      # 用容器名访问Elasticsearch（Docker内部网络域名）
      hosts => ["elasticsearch:9200"]
      # 按日期生成索引
      index => "spring-boot-logs-%{+YYYY.MM.dd}"
    }
    # 控制台输出便于调试
    stdout { codec => rubydebug }
  }
  

  注意：output.elasticsearch.hosts不能写localhost，容器内部的localhost指向自身，需用Docker Compose中Elasticsearch的服务名（默认elasticsearch）。

3. 修正Spring Boot日志输出配置 #

确保Spring Boot能把日志发送到Logstash：

• 添加Logstash依赖（以Logback为例）：

  <dependency>
    <groupId>net.logstash.logback</groupId>
    <artifactId>logstash-logback-encoder</artifactId>
    <version>7.4</version>
  </dependency>
  

• 配置logback-spring.xml：

  <configuration>
    <appender name="LOGSTASH" class="net.logstash.logback.appender.LogstashTcpSocketAppender">
      <!-- 宿主机的5044端口（Logstash容器已映射到宿主机） -->
      <destination>localhost:5044</destination>
      <encoder class="net.logstash.logback.encoder.LogstashEncoder" />
    </appender>
    <root level="INFO">
      <appender-ref ref="LOGSTASH" />
      <appender-ref ref="CONSOLE" />
    </root>
  </configuration>
  

4. 验证索引创建与日志流入 #

• 检查Elasticsearch状态：
  访问http://localhost:9200，确认返回正常JSON响应，说明ES运行正常。
• 查看索引列表：
  执行命令：

  curl http://localhost:9200/_cat/indices?v
  

  若看到spring-boot-logs-YYYY.MM.dd格式的索引，说明Logstash已成功创建索引并推送日志。
• 检查容器日志：
  查看Logstash控制台输出（docker logs <logstash容器ID>），若能看到Spring Boot的日志内容，说明日志已正常流入。

5. Kibana仪表盘配置 #

索引创建后，需在Kibana中配置索引模式才能查看日志：

1. 访问http://localhost:5601（默认Kibana端口）
2. 进入Management > Index Patterns，点击Create index pattern
3. 输入索引匹配规则（如spring-boot-logs-*），点击Next step
4. 选择时间字段为@timestamp，点击Create index pattern
5. 切换到Discover页面，即可看到流入的Spring Boot日志

内容的提问来源于stack exchange，提问作者imtejask