Loki-Promtail：dry-run与实际ts字段不符，如何调试？

我执行了以下命令：

cat test.log | promtail-v2.3.0 -config.file /etc/promtail.yml -stdin -dry-run -inspect

配置文件内容：

pipeline_stages:
  - regex:
      expression: '^(?P<ip>\S+) (?P<idp>\S+) (?P<id>\S+) \[(?P<time>[^\]]+)\] "(?P<method>\S+) (?P<path>\S+) (?P<http>[^"]+)" (?P<status>\S+) (?P<size>\S+) (?P<referrer>(-|"[^"]*")) (?P<agent>(-|"[^"]*"))$'
  - timestamp:
      source: time
      format: 02/Jan/2006:15:04:05 -0700
  - pack:
      labels: [ip, idp, id, time, method, path, http, status, size, referrer, agent]

test.log是Apache风格日志：

10.8.2.6 - undefined [16/Nov/2022:13:43:46 +0100] "GET /api/v1/domain/status HTTP/1.0" 200 530 "-" "okhttp/4.9.3"
10.8.2.6 - undefined [16/Nov/2022:13:43:49 +0100] "GET /api/v1/client/ping HTTP/1.0" 401 6 "-" "okhttp/4.9.3"

dry-run模式下输出显示Timestamp字段已正确解析，但实际将日志推送到Loki后，ts字段显示的值却和预期不符。我尝试过设置location标签，但没有效果，该怎么继续调试？

• 升级Promtail版本
  你使用的v2.3.0版本较旧，存在一些时间解析相关的已知bug。建议直接升级到最新的v2.x稳定版本，再测试问题是否消失。

• 开启Promtail调试日志
  启动Promtail时添加-log.level=debug参数，重点查看：

  • 时间字段解析后的原始值
  • 发送到Loki前的ts字段内容
  • 所有与时区转换、时间处理相关的警告或错误日志

• 验证Loki端的时间存储
  在Loki查询界面直接查看原始日志条目，对比Promtail调试日志里的发送时间和Loki存储的ts值，确认问题出在发送环节还是存储展示环节。

• 检查Pipeline执行逻辑

  • 确认timestamp阶段在pack阶段之前执行，避免pack操作后修改时间导致未生效
  • 排查是否有全局pipeline或其他job的配置覆盖了当前的时间解析逻辑
  • 临时移除pack阶段，测试裸时间解析是否能正常发送到Loki，排除pack操作的影响

• 正确配置时区参数
  之前的location配置可能存在格式问题，需使用IANA标准时区名称而非偏移量，示例：

  - timestamp:
      source: time
      format: 02/Jan/2006:15:04:05 -0700
      location: "Europe/Paris" # 对应日志中的+0100时区，按需调整
  

• 测试实际文件采集场景
  dry-run的stdin采集逻辑和实际文件监听存在差异，直接让Promtail监听test.log文件，测试真实采集流程下的时间解析效果：

  promtail-v2.3.0 -config.file /etc/promtail.yml -log.level=debug
  

内容的提问来源于stack exchange，提问作者aronisstav