网站开发涉及到哪些知识产权,个人网站源码进一品资源,网站集约化建设的通知,建设厅官方网站河南之前的nginx日志使用grok匹配#xff0c;但是后来发现nginx的日志中每个值之间都使用了分隔符|,这下就可以使用mutate来分隔出每个字段的含义#xff0c;同时还减少了运算。 描述 mutate过滤器允许您对字段执行常规突变。您可以重命名#xff0c;删除#xff0…之前的nginx日志使用grok匹配但是后来发现nginx的日志中每个值之间都使用了分隔符|,这下就可以使用mutate来分隔出每个字段的含义同时还减少了运算。 描述 mutate过滤器允许您对字段执行常规突变。您可以重命名删除替换和修改事件中的字段。 长用配置选项 rename:重命令字段update:更新字段值如果字段不存在则不执行操作convert:将字段转换成 其它类型copy:将字段复制到另一字段join:使用分隔符加入数组lowercase:将字符串转换为小写replace:用新值替换字段的值split:使用分隔符将字段拆分为数组。仅适用于字符串字段uppercase:将字符串转换为大写的等效字符串官方文档https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html 如下使用了分隔符进行处理分隔出来的字段的数组下标是从0开始的。 input {file {path /tmp/nginx.logstart_position beginning}
}filter {mutate {split [message, |]add_field {timestamp %{[message][0]}remote_addr %{[message][1]}request_all %{[message][2]}status %{[message][3]}body_bytes_sent %{[message][4]}request_time %{[message][5]}request_body %{[message][6]}http_referer %{[message][7]}http_user_agent %{[message][8]}http_x_forwarded_for %{[message][9]}upstream_addr %{[message][10]}upstream_response_time %{[message][11]}upstream_cache_status %{[message][12]}scheme %{[message][13]}}}grok {match {request_all %{WORD:verb} %{URIPATHPARAM:request} HTTP/%{NUMBER:httpversion}}remove_field [ request_all ]remove_field [ message ]}convert {body_bytes_sent integerrequest_time integer}
}output {elasticsearch {hosts [http://192.168.20.6:9200]index logstash-nginx_local}
} 转载于:https://www.cnblogs.com/dance-walter/p/10196157.html
