logstash - 具有 null fvalue 的 Logstash 字段

Question

我正在使用 logstash 来解析一个值，例如：

|SERVLETSESSIONS=|

我要捕捉它的一点是：

\|SERVLETSESSIONS=(?<servlet_sessions>[0-9]*)\|

我没有收到错误，并且我的所有其他字段都匹配，但我认为我应该得到一个空值，如"servlet_sessions" => ""我的stdout { codec => rubydebug } }但我没有那里的servlet_sessions密钥。

有任何想法吗？

Answer 1

我认为您正在寻找 Grok 过滤器配置的keep_empty_captures参数。

input {  stdin { }  }

filter {
  grok {
    keep_empty_captures => true
    match => { "message" => "\|SERVLETSESSIONS=(?<servlet_sessions>[0-9]*)\|" }
  }
}

output { stdout { codec => rubydebug } }

上述配置产生以下输出：

{
          "message" => "|SERVLETSESSIONS=|",
         "@version" => "1",
       "@timestamp" => "2015-09-09T13:44:52.754Z",
             "host" => "localhost",
 "servlet_sessions" => ""
}