Fluentd发送至Elasticsearch的日志无上下文查看选项问题排查

针对你遇到的问题，结合提供的日志数据，从核心排查点入手解决：

1. 必须确保日志包含message字段 #

你当前的日志_source中没有message字段，而Elasticsearch的“查看上下文日志”功能依赖该字段展示日志内容。需在Fluentd中配置将日志内容写入message字段：

• 若为Nginx access日志，可通过record_transformer过滤器拼接生成message：

filter * {
  @type record_transformer
  <record>
    message "${method} ${path} ${code} ${size} - ${remote}"
  </record>
}

• 若要保留原始日志内容，可直接将原始日志字符串赋值给message（具体取决于Fluentd输入插件的配置，比如tail插件解析后的原始日志字段）。

2. 确认索引模式的时间字段配置 #

Kibana必须将@timestamp设为索引模式的时间字段，否则无法按时间范围拉取上下文日志：

• 进入Kibana的Management -> Index Patterns
• 找到目标索引模式，检查Time field是否选择了@timestamp
• 若未选择，重新设置并保存索引模式

3. 验证message字段的映射类型 #

确保message字段的映射类型为text：

• 通过ES API查看字段映射：

GET /你的索引名/_mapping/field/message

• 如果返回的type不是text，需重建索引并提前定义正确映射：
  1. 新建带有正确映射的索引（明确message为text类型）
  2. 修改Fluentd输出指向新索引
  3. 重新导入日志数据（Elasticsearch无法修改已存在字段的映射类型）

4. 确保存在连续的日志数据 #

“查看上下文日志”需要同时间范围内有至少多条同来源的日志，单条日志不会显示该选项，先确认Elasticsearch中已有连续时间戳的日志数据。

5. 检查Kibana Discover视图配置 #

• 在Discover页面，确保选择了正确的索引模式
• 右键日志条目时，确认视图处于标准表格模式（部分特殊视图可能隐藏上下文选项）

内容的提问来源于stack exchange，提问作者Srijan