如何在.NET Core 6中通过log4net将日志推送至Splunk

问题背景 #

将API从.NET Framework迁移至.NET Core框架，原有系统使用log4net记录Info/Error日志并推送至Splunk，希望在新框架中沿用该方案。已完成log4net基础配置及Logger类编写，但卡在日志推送至Splunk的环节。

解决步骤 #

1. 安装必要NuGet包 #

安装log4net核心包及Splunk官方提供的log4net适配包：

dotnet add package log4net
dotnet add package Splunk.Logging.Log4Net

2. 配置log4net的Splunk Appender #

在项目中添加log4net.config文件（设置为“始终复制”到输出目录），配置Splunk HTTP Event Collector(HEC)的Appender：

<?xml version="1.0" encoding="utf-8" ?>
<log4net>
  <appender name="SplunkHttpAppender" type="Splunk.Logging.Log4Net.SplunkHttpAppender, Splunk.Logging.Log4Net">
    <!-- 替换为你的Splunk HEC实例地址 -->
    <url value="https://your-splunk-instance:8088/services/collector/event" />
    <!-- 替换为你的Splunk HEC授权Token -->
    <token value="your-splunk-hec-token" />
    <!-- 测试环境可忽略SSL证书验证，生产环境建议配置有效证书 -->
    <ignoreSslErrors value="true" />
    <!-- 日志批量发送的时间间隔（毫秒）和数量阈值 -->
    <batchInterval value="1000" />
    <batchSize value="10" />
    
    <!-- 日志格式，包含自定义上下文属性 -->
    <layout type="log4net.Layout.PatternLayout">
      <conversionPattern value='{"timestamp":%date{yyyy-MM-ddTHH:mm:ss.fffZ}, "level":"%level", "activityId":"%property{ActivityId}", "logType":"%property{LogType}", "message":"%message", "logger":"%logger"}' />
    </layout>
  </appender>

  <!-- 根日志级别配置 -->
  <root>
    <level value="INFO" />
    <appender-ref ref="SplunkHttpAppender" />
  </root>
</log4net>

3. 在.NET Core中初始化log4net #

在Program.cs中添加log4net初始化代码：

using log4net;
using log4net.Config;

var builder = WebApplication.CreateBuilder(args);

// 读取配置文件初始化log4net
XmlConfigurator.Configure(new FileInfo(Path.Combine(AppContext.BaseDirectory, "log4net.config")));

// 其他服务注册...

var app = builder.Build();

// 中间件配置...

app.Run();

4. 优化Logger类（适配.NET Core最佳实践） #

替换原类中Trace.CorrelationManager为.NET Core推荐的Activity API，保证分布式追踪ID的兼容性：

namespace ABC
{
    using System.Diagnostics;
    using System.Reflection;
    using log4net;
 
    public static class Logger
    {
        private static readonly ILog Log = LogManager.GetLogger(MethodBase.GetCurrentMethod().DeclaringType);

        public static void Info(this string className, string message)
        {
            LogicalThreadContext.Properties["ActivityId"] = Activity.Current?.Id ?? Trace.CorrelationManager.ActivityId.ToString();
            LogicalThreadContext.Properties["LogType"] = className;
            Log.Info(message);
        }

        public static void Error(this string className, string message)
        {
            LogicalThreadContext.Properties["ActivityId"] = Activity.Current?.Id ?? Trace.CorrelationManager.ActivityId.ToString();
            LogicalThreadContext.Properties["LogType"] = className;
            Log.Error(message);
        }
    }
}

5. 验证日志推送 #

运行API并触发日志记录，登录Splunk控制台，在对应索引中搜索日志数据，确认activityId、logType等自定义属性是否正确传递。

内容的提问来源于stack exchange，提问作者Vishwa nathan