如何在.NET Core项目中指定日志写入的Kibana索引模式

我明白你的问题了——你混淆了直接使用NEST ElasticClient操作Elasticsearch和Serilog Sinks Elasticsearch的日志输出配置逻辑，这就是为什么你改了NEST的代码却没生效的原因。你现在用的是Serilog Sinks Elasticsearch来推送日志到ES，但你尝试的代码是针对NEST（Elasticsearch官方.NET客户端）的独立查询操作，和Serilog的日志管道完全是两个不相关的逻辑，自然影响不到日志的输出路径。

你需要在Serilog的配置链里，直接给Elasticsearch Sink指定目标索引。下面是针对.NET Core项目的具体配置步骤：

1. 基础静态索引配置 #

如果想把所有日志都写到同一个自定义索引（比如固定索引my-custom-app-logs，或者按日期滚动的my-app-logs-2024.05.20），在Program.cs的Serilog配置里这样写：

var builder = WebApplication.CreateBuilder(args);

// 配置Serilog
Log.Logger = new LoggerConfiguration()
    .ReadFrom.Configuration(builder.Configuration) // 可选：读取appsettings.json中的基础配置
    .Enrich.FromLogContext()
    .WriteTo.Elasticsearch(new ElasticsearchSinkOptions(new Uri("http://你的ES地址:9200"))
    {
        // 方式1：按日期滚动生成索引（推荐，避免单索引过大）
        IndexFormat = "my-app-logs-{0:yyyy.MM.dd}",
        // 方式2：固定索引名
        // IndexName = "my-custom-static-index",
        AutoRegisterTemplate = true, // 自动创建ES索引模板
        NumberOfShards = 1,
        NumberOfReplicas = 0
    })
    .CreateLogger();

builder.Host.UseSerilog(); // 替换.NET Core默认日志系统

var app = builder.Build();
// ... 后续中间件配置

2. 动态索引配置（按日志类型/级别区分） #

如果需要根据日志内容动态指定索引（比如把HTTP请求日志写到app-requests，错误日志写到app-errors），可以结合Serilog的LogContext和Sink的自定义索引决策器：

// 第一步：在日志写入时，给日志添加索引上下文标记
using (LogContext.PushProperty("TargetIndex", "app-requests"))
{
    Log.Information("收到HTTP请求：{Path}", context.Request.Path);
}

// 第二步：在Serilog配置中读取上下文，动态决定索引
.WriteTo.Elasticsearch(new ElasticsearchSinkOptions(new Uri("http://你的ES地址:9200"))
{
    CustomFormatter = new ElasticsearchJsonFormatter(
        renderMessage: true,
        indexDecider: (logEvent) => 
        {
            // 读取之前添加的上下文属性，动态返回索引名
            if (logEvent.Properties.TryGetValue("TargetIndex", out var indexProp))
            {
                return indexProp.ToString().Trim('"');
            }
            // 没有标记时使用默认索引
            return "my-default-app-logs";
        }),
    AutoRegisterTemplate = true
})

3. 验证配置是否生效 #

• 启动项目后，执行ES命令GET _cat/indices?v，查看你的自定义索引是否有数据写入（如果用了按日期滚动的格式，索引名会带日期后缀）
• 检查Kibana的Discover页面，确保切换到了对应自定义索引的索引模式（新索引需要提前在Kibana中创建对应的索引模式才能看到数据）

• 确保Serilog.Sinks.Elasticsearch包的版本和你的Elasticsearch版本兼容（比如ES 8.x对应Serilog.Sinks.Elasticsearch 8.x版本）
• 检查你的appsettings.json中是否还有旧的Serilog配置，可能会覆盖代码里的手动配置
• 确认ES集群有写入权限，没有防火墙或权限拦截导致日志无法写入新索引

内容的提问来源于stack exchange，提问作者nelion