如何阻止 Logstash 在 Elasticsearch 中自动创建默认映射？

根本办法：在 Logstash 写数据之前，先在 Elasticsearch 中预建索引（或索引模板）并定义好 mappings——ES 已有映射时就不会再自动生成。也可以在 Logstash 的 elasticsearch output 中用 template 参数指定自定义模板。

方法一：预建索引 + 显式 mapping

curl -X PUT "localhost:9200/my-logs" -H 'Content-Type: application/json' -d '{
  "mappings": {
    "properties": {
      "timestamp": { "type": "date" },
      "level":     { "type": "keyword" },
      "message":   { "type": "text" },
      "response_time": { "type": "float" }
    }
  }
}'

索引已存在且带映射后，Logstash 写入时沿用现有映射，不会再自动推断。

方法二：索引模板（推荐用于按日期滚动的索引）

索引名带日期（app-logs-2024.01.15）每天新建，预建不现实，用索引模板：

curl -X PUT "localhost:9200/_index_template/app-logs-template" -H 'Content-Type: application/json' -d '{
  "index_patterns": ["app-logs-*"],
  "template": {
    "mappings": {
      "properties": {
        "timestamp": { "type": "date" },
        "message":   { "type": "text" }
      }
    }
  }
}'

之后任何匹配 app-logs-* 的新索引都会自动套用该映射。

方法三：Logstash output 指定模板

output {
  elasticsearch {
    hosts => ["http://localhost:9200"]
    index => "app-logs-%{+YYYY.MM.dd}"
    template => "/path/to/my-template.json"
    template_name => "app-logs"
    template_overwrite => true
  }
}

为什么要在意

ES 自动推断的映射经常不符合预期：字符串默认映射为 text+keyword 双字段、数字字符串被识别成数字、日期格式识别失败等。事后改映射需要重建索引（reindex），代价大。

观测云对照

观测云的日志平台不需要手动管理 mapping——字段类型在写入时自动识别，且支持通过 Pipeline 在采集侧控制字段类型（如把字符串转数字、提取时间字段），省去 ES 映射维护的麻烦。

常见问题（FAQ）

Q：已经建错的索引怎么修？
A：mapping 不能原地修改字段类型。需要新建带正确映射的索引，然后 reindex 迁移数据，最后切换别名。

Q：如何查看现有索引的 mapping？
A：curl localhost:9200/my-index/_mapping。

Q：动态 mapping 能彻底关掉吗？
A：可以，在模板中设 "dynamic": "strict"（未知字段写入报错）或 "dynamic": false（未知字段只存储不索引）。