Logstash过滤器--mutate

mutate过滤器能够帮助你修改指定字段的内容。
该过滤器指定配置：

mutate {
}

参数配置

1. add_tag

2. convert

类型是哈希，没有默认设置。

改变字段的类型，比如说把string编程integer。如果字段值是数据，那么所有的值都会被改变。如果字段是哈希类型。什么也不做。

boolean只接受下面的类型：

True: true, t, yes, y, and 1
False: false, f, no, n, and 0

如果转变的类型不是上面提到的类型，那么数据直接流过该过滤器，同时产生warning信息。

filter {
  mutate {
    convert => { "fieldname" => "integer" }
  }
}

3. lowercase & uppercase

大小写转换，数组类型，字段名字作为数据元素。

4. join

使用固定连接符号，连接数组内的元素，如果给定的字段不是数组类型，什么也不做。

filter {
  mutate {
    join => { "fieldname" => "," }
  }
}

5. gsub

数组类型，没有默认设置。

该参数设置只针对string类型，如果不是string类型的，什么也不做。

filter {
  mutate {
    gsub => [
      # replace all forward slashes with underscore
      "fieldname", "/", "_",
      # replace backslashes, question marks, hashes, and minuses
      # with a dot "."
      "fieldname2", "[\\?#-]", "."
    ]
  }
}

注意转义escaping backsplash。

6. split & strip

上面两个参数设置只针对string类型。

filter {
  mutate {
     split => { "fieldname" => "," }
  }
}

filter {
  mutate {
     strip => ["field1", "field2"]
  }
}

参考链接

https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html#plugins-filters-mutate-update