配置参考
JSON 配置拒绝未知字段。路径按配置文件所在目录解析。主配置、端点配置和插件 manifest 是不同格式，不要互相代用。
推荐生成方式
首次安装使用 sudo netflowscout init --lang zh，详细步骤见安装向导。下面的 configure 适用于脚本或生成参考配置。
sh
netflowscout configure --mode endpoint --service billing \
--executable /opt/billing/server --verification \
--out ./netflowscout.json --endpoint-out ./billing.json
netflowscout check --config ./netflowscout.json生成器不覆盖已有文件，默认使用安装路径；源码开发可用 --plugins /absolute/path/build/plugins。已有安装可使用TUI 配置页校验、预览差异和协调激活。
主配置常用字段
下表区分加载器默认值和应现场设置的值；安装包与生成器会显式配置绝对部署路径。
| 字段 | 默认 / 行为 |
|---|---|
sensor_id / service | local / unknown；实际部署设置稳定且有意义的名称 |
capture.application_source | 加载器 network；安装配置和端点生成器 endpoint |
capture.interface / filter | 真实接口与支持的用户态过滤表达式 |
socket / stream_socket | 规则输入 / 明文流 Unix socket，两进程接线必须一致 |
metrics | 127.0.0.1:9710；保持 loopback |
rules / plugins | 规则文件 / 插件包或父目录；完整候选集一起校验 |
queue.path / max_bytes | 默认 var/events.wal / 256 MiB 逻辑事件容量 |
file.enabled/path/max_bytes/keep | true / var/events.ndjson / 16 MiB / 8（含当前） |
dataway.enabled/url/token_env | 默认关闭；基础 URL；凭据环境变量名 |
recording.enabled/directory/protocols | 默认关闭；专用本地目录；显式选择协议，详见原始数据留存 |
recording.retention_hours/event_retention_hours | 默认均为 0；过期回收 / 事件保护，0..8760 小时；生成器启用留存时为 24 / 168 |
privacy.raw_fields | 默认空；按服务列出允许原文的输入字段 |
verification.enabled | false；开启需重启主服务和分析器 |
business.enabled/max_series/window_seconds | true / 256 / 300；基数与近期 Top N 有界 |
grpc.descriptors | 最多 8 个 FileDescriptorSet，每个最多 1 MiB |
HTTP 与业务配置
json
{
"http": {"request_events":true,"query_keys":["action"],"headers":["x-request-id","x-business-action"]},
"business": {"enabled":true,"max_series":256,"window_seconds":300,
"routes":[{"pattern":"^/orders/[0-9]+$","name":"/orders/{id}"}]}
}以上是合并片段。query/header 仍筛除凭据，原文输出仍需 privacy。业务路由名称是管理员定义的公开模板，不能包含敏感值。没有显式模板的路径和 SQL 使用有界归一化及摘要。
资源限制
| limits 字段 | 默认 |
|---|---|
groups_per_rule | 10000 |
distinct_per_aggregate | 4096 |
input_buffer | 2048 条 |
input_bytes | 32 MiB |
max_connections | 16 个规则输入客户端 |
state_bytes | 64 MiB |
这些不是完整进程 RSS 限额，systemd/Helm 另有限制。队列和规则状态预算不同，增加输入缓冲也不能消除持续过载。
变更生效
规则文件可 reload 主服务；兼容 Wasm 更新可 reload 分析器。主配置和端点配置变化需要相应重启，schema/敏感性变化需要协调链路。切换 WAL 或关闭输出端先离线排空/迁移。每次变更先 check，再看运行摘要、就绪和真实事件。