可选字段的 GROK 模式

Question

我有一个像这样的日志字符串：

2018-08-02 12:02:25.904 [http-nio-8080-exec-1] WARN  o.s.w.s.m.s.DefaultHandlerExceptionResolver.handleTypeMismatch - Failed to bind request element

上面的字符串中[http-nio-8080-exec-1]是一个可选字段，它可以出现在一些日志语句中。

我创建了一个 grok 模式，就像网上的一些参考资料一样：

%{TIMESTAMP_ISO8601:timestamp} (\[%{DATA:thread}\])? %{LOGLEVEL:level}%{SPACE}%{JAVACLASS:class}\.%{DATA:method} - %{GREEDYDATA:loggedString}

如果我删除线程名称字符串，它似乎不起作用。

Answer 1

您需要将线程名称后面的 space 字符设为可选：(\[%{DATA:thread}\] )?

输入：

2018-08-02 12:02:25.904 WARN  o.s.w.s.m.s.DefaultHandlerExceptionResolver.handleTypeMismatch - Failed to bind request element

模式：

%{TIMESTAMP_ISO8601:timestamp} (\[%{DATA:thread}\] )?%{LOGLEVEL:level}%{SPACE}%{JAVACLASS:class}\.%{DATA:method} - %{GREEDYDATA:loggedString}

输出：

{
  "loggedString": "Failed to bind request element",
  "method": "handleTypeMismatch",
  "level": "WARN",
  "class": "o.s.w.s.m.s.DefaultHandlerExceptionResolver",
  "timestamp": "2018-08-02 12:02:25.904"
}

可选字段的 GROK 模式

GROK pattern for optional field

logstash-grok