elasticsearch - 使用logstash修改字段的内容

Question

我正在使用logstash从sql数据库获取数据。有一个称为“代码”的字段，其中的内容包含
这个结构:

PO0000001209

ST0000000909

我想做的是删除字母后面的6个零，以得到以下结果:

PO1209

ST0909

我将结果放在另一个名为“code_short”的字段中，并将其用于elasticsearch中的查询。我已经配置了输入
和logstash中的输出，但我不确定如何使用grok或mutate filter

我已经阅读了一些示例，但是对此我还很陌生，我有些困惑。

任何帮助，将不胜感激。谢谢。

Answer 1

您可以为此使用mutate/gsub过滤器，但这将替换code字段的值:

filter {
  mutate {
    gsub => [
      "code", "000000", "",
    ]
  }
}

另一个选择是使用 grok过滤器，如下所示:

filter {
  grok {
    match => { "code" => "(?<prefix>[a-zA-Z]+)000000%{INT:suffix}" }
    add_field => { "code_short" => "%{prefix}%{suffix}"}
  }
}