elasticsearch - 为什么 Logstash 不会基于 grok'd 字段合并行？

Question

我正在尝试让 logstash multiline 与以下测试文件一起工作:

val=abc
123 abc
test

并为过滤器使用以下配置:

filter
{
    if [message] =~ "val"
    {
         match => ["message", "val=%{WORD:calc}"
    }
    multiline
    {
        pattern => [calc]
        what => "next"
    }
}

输出显示如下(删除了其他字段):

"message" => "val=abc"
"calc" => "abc"
...
"message" => "123 abc"

以上内容让我知道 grok 匹配(因此出现“calc”字段)但我不确定为什么多行不合并第一行和第二行

Answer 1

你的意思是如果 calc 字段存在，第一行和第二行将合并为一个 envet？

如果是，以下答案可以帮助您。您的多行模式不正确。请引用这个配置:

input {
    stdin{}
}

filter {
    if [message] =~ "val"
    {
        grok {
            match => ["message", "val=%{WORD:calc}"]
        }
    } 
    multiline
    {
        pattern => "(val)"
        what => "next"
    }
}

output {
    stdout {
        codec => "rubydebug"
    }
}

multiline 模式是当message 字段有val 字时，你遇到这个模式，它会multiline 合并到第二行。在您的示例中，您使用 [cal] 这意味着当 message 字段具有 cal 单词时，但是，没有任何 cal 在 message 字段中。