ELK logstash中grok使用if判断消息是否包含某个字符串及以某个字符开头

最新推荐文章于 2023-06-16 22:28:57 发布

夏已微凉、

最新推荐文章于 2023-06-16 22:28:57 发布

阅读量8.1k

点赞数 1

分类专栏： # Es

本文链接：https://blog.csdn.net/qq_36025814/article/details/108844128

版权

Es 专栏收录该内容

22 篇文章

订阅专栏

一、语法
二、使用
三、相关文章

一、语法

使用条件来决定filter和output处理特定的事件。logstash条件类似于编程语言。条件支持if、else if、else语句，可以嵌套。

[ 比较操作 ]

相等: ==,!=, <,>,<=, >=
正则: =~(匹配正则), !~(不匹配正则)
包含: in(包含), not in(不包含)

[ 布尔操作 ]

and(与), or(或), nand(非与), xor(非或)

[ 一元运算符 ]

!(取反)
()(复合表达式), !()(对复合表达式结果取反)

二、使用

filter{
    if "start" in [message]{     --message就是指原始消息
        grok{
            match => xxxxxxxxx
        }
    }else if "complete" in [message]{
        grok{
            xxxxxxxxxx
        }
    }else{
        grok{
            xxxxxxx
        }
    }
    
    if ([message] =~ "正则表达式") { # 如果满足该正则
			drop{} # 丢弃这条数据，不写入Es
	}
 
}