监控日志系统时如何正确解读201响应码（操作指南）

以下是对您提供的博文内容进行深度润色与结构重构后的技术文章。整体遵循如下优化原则：

• ✅彻底去除AI痕迹：摒弃模板化表达、空洞总结、机械分段，代之以真实工程师视角的思考节奏与实战语感；
• ✅强化逻辑流与教学性：将协议规范、ES内核机制、监控误判、代码陷阱、调试经验有机编织为一条“问题驱动—原理穿透—工程落地”的主线；
• ✅语言更凝练、更具现场感：用短句、设问、加粗强调、口语化专业判断（如“坦率说”“别被表象骗了”）替代教科书式陈述；
• ✅删减冗余标题层级：合并重复模块，取消“引言/总结/展望”等套路化章节，全文以自然段落推进，仅保留真正有信息密度的小标题；
• ✅增强可操作性：每个技术点都配套“你该怎么做”“为什么这么干”“不这么干会怎样”的三层闭环；
• ✅保持全部关键技术细节、参数、代码、表格不变，仅重述其意义与上下文关联。

当Kibana里查不到日志时，别急着重启Fluentd——先读懂那个被忽略的201

你在Kibana里搜level: ERROR，结果一片空白。
写入服务日志却清一色写着：

[INFO] Document created: id=abc123, index=logs-2024-06-15

心跳停了一拍——这明明是201啊，不是“成功”吗？

不。它只是告诉你：“主分片已收下这个文档，并给了它一个ID。”
至于它能不能被搜到、会不会在节点宕机后消失、副本有没有跟上……201一个字都没答应。

这不是ES的bug，而是HTTP协议+分布式存储+实时检索三者咬合时，留下的一个精妙但危险的语义缝隙。而绝大多数日志平台，正踩在这条缝隙上奔跑。

201不是绿色对勾，它是ES写入流水线上的一个“工位打卡”

RFC 7231写得极简：

“201 Created：请求已成功，且服务器已创建一个新资源。新资源的URI应在Location首部中返回。”

但在Elasticsearch里，“创建资源”这件事，被拆解成五个物理阶段：

1. 协调节点接收请求（轻量）
2. 路由到主分片所在节点（网络跳转）
3. 主分片写入内存buffer + 生成倒排索引项 + 分配_id（毫秒级，201在此刻发出）
4. 异步刷