Filebeat中@timestamp解析错误未覆盖问题的修复咨询

你的问题根源在于Python生成的时间戳格式（YYYY-MM-DDTHH:MM:SS.ffffff）没有包含时区信息，而Filebeat默认的JSON时间解析格式要求带时区标识（比如Z或±HH:MM），导致解析失败，无法用日志里的时间覆盖默认的@timestamp。

完全可以通过调整Filebeat配置解决，以下两种方案任选其一：

方案一：在日志输入配置中直接指定时间格式 #

修改filebeat.inputs配置，添加时间字段、匹配格式及时区设置：

filebeat.inputs:
- type: log
  json.keys_under_root: true
  json.overwrite_keys: true
  json.time_key: "timestamp"  # 替换为你Python日志中实际的时间字段名（比如asctime）
  json.time_format: "2006-01-02T15:04:05.000000"  # 严格匹配Python生成的时间格式
  json.time_zone: "UTC"  # 根据实际情况设置，比如"Asia/Shanghai"对应北京时间
  fields_under_root: true
  fields: {
    application: app01
  }
  paths:
    - "/var/log/app01/*.log"
  ignore_older: 48h

• json.time_key：必须填写你Python日志里存储时间的字段名称，比如用Python logging的jsonFormatter时，默认可能是asctime；
• json.time_format：完全匹配Python输出的时间格式，Python的%Y-%m-%dT%H:%M:%S.%f对应Go的2006-01-02T15:04:05.000000；
• json.time_zone：补全时区信息，避免时间偏移。

方案二：使用Processors手动解析时间 #

如果需要更灵活的处理逻辑，可以添加date处理器来强制解析时间并覆盖@timestamp：

filebeat.inputs:
- type: log
  json.keys_under_root: true
  json.overwrite_keys: true
  fields_under_root: true
  fields: {
    application: app01
  }
  paths:
    - "/var/log/app01/*.log"
  ignore_older: 48h

processors:
  - date:
      field: "timestamp"  # 同样替换为实际的时间字段名
      formats:
        - "2006-01-02T15:04:05.000000"
      timezone: "UTC"
      target_field: "@timestamp"
      overwrite: true

两种方案都能让Filebeat正确解析Python生成的时间戳，成功覆盖默认的@timestamp，解决日志中的解析错误。

内容的提问来源于stack exchange，提问作者Emanuel