elasticsearch - Grok 自定义模式

Question

我的logstash中有一条简单的消息：

2018-09-30 20:25:07.708  INFO 8013 --- [nio-8443-exec-3] c.e.demo.controller.UsuarioController    : INICIO CHAMADA | 311

我想从此消息中删除以下字段。

"311"

Answer 1

您快到了。您只需|使用反斜杠转义管道字符（否则它与801after匹配INFO），如下所示：

: INICIO CHAMADA \| (?<identificador_chamada>[0-9]{3})
                 ^
                 |
             add this

你会得到这个

{
  "identificador_chamada": [
    "311"
  ]
}