Logstash Grok過濾器 - 根據內容命名字段

我有一個關於Logstash中grok過濾器的問題。假設我有兩個日誌信息如下：Logstash Grok過濾器 - 根據內容命名字段

06 Oct 2014 15:49:23,256 DEBUG [http-8080-1] (com.webratio.units.content.rtx.db.PowerIndexUnitService:45) - [8C590C7717CB12BE96A83F23DA9EE56B][page21][pwu5][trace][127.0.0.1,8C590C7717CB12BE96A83F23DA9EE56B] RESULT_COUNT:2 {oid=[9, 8]} 

06 Oct 2014 15:49:23,270 DEBUG [http-8080-1] (com.webratio.units.utility.rtx.db.SelectorUnitService:45) - [8C590C7717CB12BE96A83F23DA9EE56B][page21][seu13][trace][127.0.0.1,8C590C7717CB12BE96A83F23DA9EE56B] RESULT_COUNT:0 {}

我的過濾器如下：

filter { 
    grok { 
      match => [ "message", "%{INT:day} %{MONTH:month} %{YEAR:year} %{TIME:time} %{SPACE} %{WORD:mode} \[%{DATA:http}\] %{SPACE} \(%{DATA:path}\) - \[%{DATA:sessionId}\]\[%{DATA:pageId}\]\[%{DATA:pwuId}\]\[%{DATA:trace}\]%{GREEDYDATA:Info}" ] 
    } 
}

正如你可能已經猜到了過濾器同時匹配日誌消息。但seu13在第二條日誌消息中也被命名爲pwuId。你知道是否有辦法檢查現場並給出相應的名稱？

來源

2014-10-06 Candan

你將不得不做這樣的事情與grok：

grok { 
    match => [ "message", 
    "%{INT:day} %{MONTH:month} %{YEAR:year} %{TIME:time} %{SPACE} %{WORD:mode} [%{DATA:http}] %{SPACE} (%{DATA:path}) - [%{DATA:sessionId}][%{DATA:pageId}][(?<pwuId>pwu\d+)}][%{DATA:trace}]%{GREEDYDATA:Info}", 
    "%{INT:day} %{MONTH:month} %{YEAR:year} %{TIME:time} %{SPACE} %{WORD:mode} [%{DATA:http}] %{SPACE} (%{DATA:path}) - [%{DATA:sessionId}][%{DATA:pageId}][(?<seuId>seu\d+)}][%{DATA:trace}]%{GREEDYDATA:Info}" 
    ] 
}

所以，現在你已經有了匹配兩種不同的模式 - 第一個只匹配PWU ####的和2nd only matches seu ####'s

來源

2014-10-06 14:40:58 Alcanzar

Logstash Grok過濾器 - 根據內容命名字段

回答

相關問題