使用 grok 匹配自定义样式的电子邮件地址答案

【问题标题】：Using grok to match custom style email address使用 grok 匹配自定义样式的电子邮件地址
【发布时间】：2018-04-25 21:21:10
【问题描述】：

我刚刚为我的 apache 日志设置了一个 ELK 堆栈。它工作得很好。现在我想添加邮件日志，但我无法使用 grok 解析日志。

我正在使用此站点进行调试： https://grokdebug.herokuapp.com/

这是一个示例邮件日志（sendmail）条目：

Apr 24 19:38:51 ip-10-0-1-204 sendmail[9489]: w3OJco1s009487: to=<username@domain.us>, delay=00:00:01, xdelay=00:00:01, mailer=smtp, pri=120318, relay=webmx.bglen.net. [10.0.3.231], dsn=2.0.0, stat=Sent (Ok: queued as E2DEF60724), w3OJco1s009487: to=<username@domain.us>, delay=00:00:01, xdelay=00:00:01, mailer=smtp, pri=120318, relay=webmx.[redacted].net. [10.0.3.231], dsn=2.0.0, stat=Sent (Ok: queued as E2DEF60724)

从上面的文字中，我想抽出文字to=<username@domain.us>。

到目前为止，我有一个 grok 模式：

(?<mail_sent_to>[a-zA-Z0-9_.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.(?:[0-9A-Za-z][0-‌9A-Za-z-]{0,62}))*)

它给了我username@domain.us> 的结果，这很好，但我希望它的前面也有to=。我只希望这个 grok 过滤器匹配前面有 to= 的电子邮件地址。

我试过这个，但结果是“不匹配”：

(?<mail_sent_to>"to="[a-zA-Z0-9_.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.(?:[0-9A-Za-z][0-‌9A-Za-z-]{0,62}))*)

【问题讨论】：

试试\bto=<(?<mail_sent_to>[a-zA-Z0-9_.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.[0-9A-Za-z][0-9A-Za-z-]{0,62})*)>
或者，如果您需要获取整个to=<...>，请使用\b(?<mail_sent_to>to=<[a-zA-Z0-9_.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.[0-9A-Za-z][0-9A-Za-z-]{0,62})*>)
@WiktorStribiżew 第二个成功了！它给了我带有“to=<...>”的整个地址，谢谢！请写为答案，我会将其标记为解决方案。

标签： regex logstash elastic-stack logstash-grok

【解决方案1】：

你可以使用

\b(?<mail_sent_to>to=<[a-zA-Z0-9_.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.[0-9A-Za-z][0-9A-Za-z-]{0,62})*>)

或者，因为[a-zA-Z0-9_] 匹配与\w 相同的字符：

\b(?<mail_sent_to>to=<[\w.+=:-]+@[0-9A-Za-z][0-9A-Za-z-]{0,62}(?:\.[0-9A-Za-z][0-9A-Za-z-]{0,62})*>)

请参阅regex demo。

详情

\b - 单词边界
(?<mail_sent_to> - “mail_sent_to”组：
- to=< - 文字字符串 to=<
- [\w.+=:-]+ - 1+ 个字，.，+，=，: 或 - 字符
- @ - 一个 @ 字符
- [0-9A-Za-z] - 一个字母数字字符
- [0-9A-Za-z-]{0,62} - 0 到 62 个字母、数字或 -
- (?:\.[0-9A-Za-z][0-9A-Za-z-]{0,62})* - 0+ 个序列
  - \. - 一个点
  - [0-9A-Za-z] - 一个字母数字字符
  - [0-9A-Za-z-]{0,62} - 0 到 62 个字母、数字或 -
- > - 一个 > 字符
) - 小组结束。

【讨论】：

@SufiyanGhori 我想 OP 已经尝试过 %{EMAILADDRESS} 但对他们没有用。

【解决方案2】：

这很简单，它创建一个自定义模式来匹配to=< 和>，以及pre-defined EMAILADDRESS 来匹配电子邮件地址。

\b(?<mail_sent_to>to=<%{EMAILADDRESS}>)

这将输出，

{
  "mail_sent_to": [
    [
      "to=<username@domain.us>"
    ]
  ],
  "EMAILADDRESS": [
    [
      "username@domain.us"
    ]
  ],
  "EMAILLOCALPART": [
    [
      "username"
    ]
  ],
  "HOSTNAME": [
    [
      "domain.us"
    ]
  ]
}

编辑：

电子邮件的模式是，

EMAILLOCALPART [a-zA-Z][a-zA-Z0-9_.+-=:]+
EMAILADDRESS %{EMAILLOCALPART}@%{HOSTNAME}

【讨论】：