Fluent Bit中Merge_Log功能导致日志格式异常的解决方案

问题背景

在使用Fluent Bit 3.x版本收集Kubernetes容器日志时，用户发现日志输出格式不符合预期。具体表现为：原本期望输出的JSON格式日志被包裹在了一个额外的log字段中，导致日志结构发生变化。这个问题在2.x版本中并不存在。

问题现象

原始日志格式为标准的JSON：

{"level":"info","time":"2025-01-24T07:52:44.365200Z","scope":"rootcertrotator","msg":"Check and rotate root cert."}

但在升级到Fluent Bit 3.x后，输出变成了：

log="{"level":"info","time":"2025-01-24T07:52:44.365200Z","scope":"rootcertrotator","msg":"Check and rotate root cert."}"

原因分析

这个问题主要与Fluent Bit的Merge_Log功能配置有关。在3.x版本中，Fluent Bit对日志合并处理逻辑进行了优化和调整，导致行为与2.x版本有所不同。

关键配置点：

1. 用户启用了Merge_Log On选项
2. 设置了Merge_Log_Key parsed参数
3. 在Loki输出插件中配置了Remove_Keys parsed来移除解析后的字段

解决方案

经过排查，用户发现可以通过调整配置解决此问题。虽然用户没有详细说明具体修改内容，但根据经验，可能的解决方案包括：

1. 调整Merge_Log_Key设置：将Merge_Log_Key设置为与输出插件中移除的键不同的名称，避免冲突

2. 修改输出格式配置：在Loki输出插件中，可以尝试使用json格式而非key_value格式

3. 简化处理流程：如果不需要合并日志功能，可以考虑关闭Merge_Log选项

最佳实践建议

1. 版本升级注意事项：从Fluent Bit 2.x升级到3.x时，需要特别注意处理逻辑的变化，建议先在测试环境验证配置

2. 日志处理流程测试：对于复杂的日志处理管道，建议逐步测试每个过滤器和输出插件的效果

3. 配置文档参考：仔细阅读对应版本的官方文档，了解各参数的具体含义和行为变化

总结

Fluent Bit作为一款高效的日志收集处理器，在不同版本间可能会有行为差异。遇到类似日志格式问题时，建议：

1. 检查所有相关插件的版本兼容性
2. 逐步验证每个处理阶段的效果
3. 参考官方文档了解参数的具体含义
4. 在测试环境中充分验证配置变更

通过系统性的排查和验证，可以有效解决因版本升级带来的日志格式问题。