SpringBoot集成Splunk HTTP Event Collector Log4j2无法发送日志求助

核心配置错误（优先修复） #

你的Log4j2配置中存在Appender引用名称不匹配的问题：

• SplunkHttp Appender的name属性是student-service-token
• 但Root Logger的<AppenderRef>里写的是splunkhttp，两者完全不对应，导致日志根本不会路由到Splunk Appender。

修复方法：将Root Logger中的AppenderRef改为正确的名称：

<Root level="info">
    <AppenderRef ref="console" />
    <AppenderRef ref="student-service-token" />
</Root>

其他排查要点 #

1. Splunk HEC端点URL验证 #

Splunk Cloud的HTTP事件收集器（HEC）默认端口是443，而非配置中的8080，标准HEC端点格式为：
https://<splunk-cloud-instance>:443/services/collector
请确认你的Splunk HEC实际地址，可通过Splunk Cloud控制台查看HEC配置页面获取正确URL。

2. HEC Token有效性测试 #

用curl直接测试Token是否有权限写入指定索引：

curl -k https://prd-p-wyalk.splunkcloud.com:443/services/collector \
-H "Authorization: Splunk 你的完整Token" \
-d '{"event": "测试日志", "index": "student_idex_api"}'

返回{"text":"Success","code":0}说明Token正常，否则需检查：

• Token是否在Splunk Cloud中正确创建
• Token是否拥有向student_idex_api索引写入的权限
• 目标索引student_idex_api是否存在

3. 日志级别与输出验证 #

Root Logger设置为info级别，确保你的应用确实有INFO及以上级别的日志输出。可临时将级别改为debug，触发更多日志生成，验证是否能发送到Splunk。

4. 启用Log4j2调试日志 #

控制台无报错可能是Log4j2自身的调试日志未开启，添加启动参数：

-Dlog4j2.debug=true

启动后会输出Log4j2加载配置、初始化Appender的详细过程，可排查是否有配置加载失败、Appender初始化异常等隐性问题。

5. SplunkHttp配置参数优化 #

• host字段填写localhost会导致日志来源标识为本地，建议改为应用服务器的实际主机名或实例ID，便于Splunk中区分日志来源
• 确认创建HEC Token时，是否允许raw格式输入（配置中type="raw"），若Token仅允许JSON格式，需调整messageFormat为json或修改Token配置

内容的提问来源于stack exchange，提问作者Balakirethiga R