Logstash配置（官方文档）2-事件数据和字段

Logstash代理是一个分三个阶段处理：inputs->filters->outputs。

inputs生成事件，filters修改他们，outputs输出他们到指定位置。

所有的事件都有属性。例如一个apache日志文件有一些类似像status的代码（202，404），request path （"/","index"）,http请求方式（GET,POST）,客户端ip地址等等。logstash称这些属性为字段（field）。

一些logstash配置选项需要字段存在才会起作用。因为inputs生成事件，在input块中没有字段去评估-他们不存在

因为他们依赖事件和字段，之后的配置选项将只工作在filter和output块下。

 

重要：

下面描述的字段引用、输出格式和条件将不再input块中起作用。

 

field References（字段引用）

按名称引用字段是非常有用的。你可以使用logstash字段引用语法，进行引用。

最基本的访问字段的语法就是[字段名]。如果你引用一个最上层的字段，你可以使用字段名时，忽略“括号”

为了引用嵌套字段，你需要写明字段全路径：[top-level field] [nested field]
注：会编程的伙伴，会觉得这种形式与编程中的二元数组类似。

例如：本例有5个最上层字段(agent,ip,request,response,ua)和3个嵌套字段（status,bytes,os）

 

{ </