如何不借助中间件将Spring Boot日志直接发送到Elasticsearch？

目前主流可长期维护的实现方式有两种，均不需要引入Logstash、Filebeat等外部中间件，直接在应用内完成日志上报全流程：

方案1：Elastic官方ECS Logback Appender（推荐，适配Spring Boot默认日志框架） #

Spring Boot默认使用Logback作为日志框架，该方案为Elastic官方维护，兼容性强、更新迭代稳定，支持ES 7.x及以上全版本，无弃用风险。

步骤1：引入Maven依赖 #

<dependency>
    <groupId>co.elastic.logging</groupId>
    <artifactId>ecs-logging-logback</artifactId>
    <version>最新稳定版即可</version>
</dependency>

步骤2：配置logback-spring.xml #

在src/main/resources下新增/修改logback配置文件，添加Elasticsearch上报的appender：

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
    <!-- 原有控制台输出配置保留即可 -->
    <appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender">
        <encoder>
            <pattern>%d{HH:mm:ss.SSS} [%thread] %-5level %logger{36} - %msg%n</pattern>
        </encoder>
    </appender>

    <!-- Elasticsearch 上报appender -->
    <appender name="ES_APPENDER" class="co.elastic.logging.logback.EcsLoggingAppender">
        <!-- ES服务地址，多节点用逗号分隔 -->
        <uri>http://你的ES地址:9200</uri>
        <!-- 日志索引名，建议按天分片 -->
        <index>spring-boot-app-log-%date{yyyy.MM.dd}</index>
        <!-- 如ES开启身份认证则配置以下两项 -->
        <username>你的ES用户名</username>
        <password>你的ES密码</password>
        <!-- 异步批量发送配置，避免阻塞业务线程 -->
        <batchSize>100</batchSize>
        <flushIntervalMillis>1000</flushIntervalMillis>
        <maxRetries>3</maxRetries>
    </appender>

    <root level="info">
        <!-- 同时关联控制台和ES上报appender，即可实现控制台日志同步上报 -->
        <appender-ref ref="CONSOLE" />
        <appender-ref ref="ES_APPENDER" />
    </root>
</configuration>

方案优势 #

• 原生支持ECS结构化日志格式，无需额外配置ES字段映射即可直接查询、做可视化
• 内置批量发送、失败重试、异步上报能力，性能损耗极低
• 官方长期维护，兼容ES所有主流版本，不存在弃用风险

方案2：logstash-logback-encoder（兼容性更高，适合存量项目） #

如果项目有历史配置包袱，也可以使用社区长期维护的logstash-logback-encoder组件，该组件目前仍保持高频更新，支持所有Spring Boot版本。

步骤1：引入Maven依赖 #

<dependency>
    <groupId>net.logstash.logback</groupId>
    <artifactId>logstash-logback-encoder</artifactId>
    <version>最新稳定版即可</version>
</dependency>

步骤2：配置Logback的Elasticsearch appender #

使用该组件的LoggingEventAsyncDisruptorAppender配合Elasticsearch输出即可，配置逻辑和方案1类似，支持自定义日志字段、批量发送等能力。

注意事项 #

• 生产环境必须开启异步批量发送，避免日志上报的IO操作阻塞业务主流程
• 建议日志索引按天/周分割，降低ES索引管理成本，提升查询效率
• 若ES开启HTTPS访问，在appender配置中补充SSL证书相关配置即可
• 可以自定义MDC字段，自动将TraceId、服务名、实例IP等上下文信息上报到ES，方便问题排查

内容的提问来源于stack exchange，提问作者H Athukorala