Logstash 检查字段是否存在

Question

我有日志文件进入 ELK 堆栈。我想复制一个字段(foo)以便对其执行各种突变，但是该字段(foo)并不总是存在。

如果 foo 不存在，则仍会创建 bar，但会分配文字字符串 "%{foo}"

如何仅在字段存在时执行突变？

我正在尝试做这样的事情。

if ["foo"] {
  mutate {
    add_field => "bar" => "%{foo}
  }
}

Answer 1

检查字段 foo 是否存在:

1) 对于数字类型字段，请使用:

 if ([foo]) {
    ...
 }

2) 对于数字以外的类型(如 bool 值、字符串)，请使用:

if ("" in [foo]) {
    ...
}