错误的 Grok 模式

Question

我正在尝试为以下日志跟踪创建一个 grok 模式：

"source":"<a href=\"http://twitter.com/download/iphone\" rel=\"nofollow\">Twitter for iPhone</a>"

我做过的grok模式是：

a href=\\"http://twitter.com/download/(?<Client>\b\w+\b)

这似乎在我尝试过的任何在线 grok 调试器中都能正常工作。但是，当我运行 logstash 时，我得到了一个 grok parserror。这是我的 logstash 配置：

grok { match => {"message" => "a href=\\http://twitter.com/download/(?<Client>\b\w+\b)"}

你能告诉我我做错了什么吗？我不明白为什么它不能在 logstash 上运行，但似乎可以在任何在线调试器中运行。

预期的输出是：Client: iPhone

谢谢

Answer 1

我认为您可以更改方法以避免处理所有 /" 字符 ;) 所以

行：

grok { match => {"message" => "a href=\\http://twitter.com/download/(?<Client>\b\w+\b)"}

可以替换为：

grok { match => {"message" => "*%{URI}\/download\/(?<Client>\b\w+\b).*"}