第6章：容器日志与监控——用 ELK 或 Loki 收集容器日志

本章你将彻底搞懂：容器日志的 stdout/stderr 最佳实践。Docker 日志驱动的配置（json-file、fluentd、loki）。使用 ELK（Elasticsearch + Logstash + Kibana）集中收集日志的完整搭建流程。轻量级方案 Loki + Promtail + Grafana 的快速部署。真实案例：生产环境某容器疯狂输出日志，导致 /var/lib/docker/containers 磁盘写满，节点宕机，最后通过限制日志驱动和轮转策略解决。
配套资源：一键启动 ELK 的 docker-compose.yml、Loki 栈的 docker-compose.yml、日志采样脚本、告警规则示例。
真实踩坑：我曾把应用日志写在容器内的文件里，结果容器重启后日志全丢；还曾用 docker logs 查日志导致宿主机磁盘 I/O 飙升；更有一次 Logstash 消费跟不上日志流速，导致 Docker 的 json-file 驱动缓冲区溢出，容器被 Docker 守护进程杀死。

---

6.1 一个让节点磁盘写满的“日志海啸”

2020 年我在一家物流平台公司，负责一个高并发的订单处理服务。某天凌晨 2 点，收到告警：K8s 节点磁盘使用率 98%。我登录节点一看，/var/lib/docker/containers 目录占了 80GB。

排查发现，订单服务的某个 bug 导致它在短时间内疯狂输