java - 取出一个字段的第一行，在Logstash 1.4.0中添加为新字段

Question

我使用 log4j 配置并运行了我的 ELK 堆栈，一切正常。我希望能够做的是按类型对所有异常进行分组，例如 - 创建一个术语图并为每个异常类型(如 FileNotFound、NullPointerException 等)设置一个术语。我已经有一个 stack_trace 字段，其中包括第一行的异常类型，然后是完整的堆栈跟踪。我在网上找到了这样的东西:

filter{
  mutate {
    gsub => [
      "stack_trace", "\n.*", ""
    ]
  }
}

但这只会用它的第一行覆盖 stack_trace 字段，这不是我想要的。我想添加一个新字段，取出 stack_trace 字段的第一行，即异常类型。

Answer 1

制作堆栈跟踪字段的副本并对其执行 gsub

filter{
  mutate {
    add_field => { 
      "exception" => "%{stack_trace}" 
    }
  }
  mutate {
    gsub => [
      "exception", "\n.*", ""
    ]
  }
}

编辑:感谢 @Alpha指出this question ，您可能需要使用两个单独的突变。