arrays - Sumologic - 将 JSON 数组拆分为多条记录

Question

我在 HTTP 中传递一个 JSON 数组对象POST为

[{"level":"INFO","data": "Test 1"},{"level":"INFO","data": "Test 2"}]

此消息在 SumoLogic 中被视为 1 个对象/日志消息。如何告诉 SumoLogic 将每个 JSON 对象视为一个独立对象并显示 2 条日志消息而不是 1 条？

Answer 1

我相信这不能用 json 运算符来完成。但是，请查看“解析正则表达式”运算符的文档。有一个名为“multi”的选项，它为正则表达式的每个匹配项创建一条新消息。在你的情况下，这样的事情可能会奏效：

parse regex "\{?<fieldname>.*?\}" multi

我没有在产品本身中尝试过这个，但这里是使用 regex 的 Regex101 链接。

Answer 2

我相信对此的实际答案是不要将您的日志作为数组发送。而是在正文中包含每个 json 对象，并在末尾添加一个“\n”，以便 Sumo 将它们视为单独的日志消息。

{"level":"INFO","data": "Test 1"}\n
{"level":"INFO","data": "Test 2"}\n