咨询：Kibana中自定义字段图标显示为'?'而非官方示例的't'的原因

作为Kibana新手碰到这个问题太正常了，我来帮你捋清楚原因和解决步骤：

首先，你看到的字段图标是问号，而官方解析的字段是「t」图标，本质是Elasticsearch里的字段类型映射没配置对。官方的COMBINEDAPACHELOG是预定义的grok模式，Logstash会自动给解析出来的字段设置正确的类型，Elasticsearch接收后能准确识别，Kibana自然就能正常使用；但你自己写的grok表达式，虽然指定了字段类型（比如%{INT:id}），但可能没处理好细节，导致ES自动推断的类型出错，或者字段值带冗余内容（比如引号），最终Kibana认不出这些字段的用途。

接下来一步步解决：

1. 先确认Elasticsearch里的字段映射 #

打开Kibana的「Dev Tools」，执行下面的命令（把your_log_index换成你的实际索引名，比如logstash-*）：

GET /your_log_index/_mapping

查看返回结果里自定义字段（比如id、status、rkey）的type值：

• 如果id的type是text而不是integer，那可视化里做数值聚合肯定用不了
• 如果status值带引号，说明QUOTEDSTRING把引号也包含进去了，这会影响字段的实际使用

2. 修正Logstash的Filter配置 #

重点处理两个问题：字段类型强制转换和去除冗余引号。修改你的filter部分：

filter {
  grok {
    match => {"message" => "%{TIMESTAMP_ISO8601:timelog} %{INT:id} %{QUOTEDSTRING:status} %{NUMBER:rkey} %{QUOTEDSTRING:origin} ..."}
  }
  # 去掉QUOTEDSTRING带来的双引号
  mutate {
    gsub => [
      "status", "\"", "",
      "origin", "\"", ""
    ]
    # 强制转换字段类型，避免ES自动推断错误
    convert => {
      "id" => "integer"
      "rkey" => "float" # 如果你存的是整数就换成integer
    }
  }
  # 把自定义的timelog替换成ES默认的@timestamp，方便Kibana时间筛选
  date {
    match => ["timelog", "ISO8601"]
    target => "@timestamp"
  }
}

3. 配置索引模板（关键！避免下次再踩坑） #

字段类型一旦在ES里创建就没法修改，所以最好提前创建索引模板，让后续生成的索引自动套用正确的映射：
在Dev Tools里执行：

PUT _template/custom_log_template
{
  "index_patterns": ["logstash-*"], # 匹配你的索引前缀
  "mappings": {
    "properties": {
      "id": {"type": "integer"},
      "rkey": {"type": "float"},
      "status": {"type": "keyword"}, # 用keyword类型才能做聚合、筛选，适合状态类字段
      "origin": {"type": "keyword"},
      "timelog": {"type": "date", "format": "ISO8601"}
    }
  }
}

4. 重新导入数据并刷新Kibana索引模式 #

• 先删除之前有问题的旧索引（如果数据不重要的话）：DELETE /your_log_index
• 重启Logstash，让新的配置生效，重新发送日志数据到ES
• 进入Kibana的「管理」→「索引模式」，找到你的索引模式，点击「刷新字段列表」

做完这些，你再去看字段图标，应该就会变成对应类型的图标（比如#代表数字，d代表日期），而且这些字段也能正常用在可视化的聚合、筛选里了。

内容的提问来源于stack exchange，提问作者Doglas