mutate过滤器能够帮助你修改指定字段的内容。
该过滤器指定配置:
mutate {
}
参数配置
1. add_tag
2. convert
类型是哈希,没有默认设置。
改变字段的类型,比如说把string编程integer。如果字段值是数据,那么所有的值都会被改变。如果字段是哈希类型。什么也不做。
boolean只接受下面的类型:
True: true, t, yes, y, and 1
False: false, f, no, n, and 0
如果转变的类型不是上面提到的类型,那么数据直接流过该过滤器,同时产生warning信息。
filter {
mutate {
convert => { "fieldname" => "integer" }
}
}
3. lowercase & uppercase
大小写转换,数组类型,字段名字作为数据元素。
4. join
使用固定连接符号,连接数组内的元素,如果给定的字段不是数组类型,什么也不做。
filter {
mutate {
join => { "fieldname" => "," }
}
}
5. gsub
数组类型,没有默认设置。
该参数设置只针对string类型,如果不是string类型的,什么也不做。
filter {
mutate {
gsub => [
# replace all forward slashes with underscore
"fieldname", "/", "_",
# replace backslashes, question marks, hashes, and minuses
# with a dot "."
"fieldname2", "[\\?#-]", "."
]
}
}
注意转义escaping backsplash。
6. split & strip
上面两个参数设置只针对string类型。
filter {
mutate {
split => { "fieldname" => "," }
}
}
filter {
mutate {
strip => ["field1", "field2"]
}
}