logstash：變異{GSUB ...}不工作

Question

mutate { 
     add_field => {"eee" => "2016 uaie"} 
     gsub => [ 
      "eee", "2016", "2015" 
     ] 
    } 

這確實會創建一個字段 「EEE」，但GSUB將不更新它。爲什麼？

Answer 1

add_field在底層篩選成功時運行。在你的情況下，mutate {}正在運行，然後運行add_field。

要使發生變異{}添加的字段之後，使用兩個發生變異塊：

mutate { 
    add_field => {"eee" => "2016 uaie"} 
} 

mutate { 
    gsub => [ 
     "eee", "2016", "2015" 
    ] 
}