Logstash 处理文件中的多行记录

Question

我的日志示例是这样的：

2017-01-03 03:38:18 +0000 field1: 123 field2: 321
field3: 1133 field4: 0901
2017-01-03 03:38:19 +0000 field1: 523 field2: 521
field3: 533 field4: 509

我对此很陌生。我应该如何编写正则表达式？

Answer 1

对于文件{}输入，您应该使用multiline codec（而不是多行{}过滤器），例如：

input {
  file {
    path => "..."
    codec => multiline {
      negate => "true"
      pattern => "^%{YEAR}"
      what => "previous"
    }
  }
}

您会读作“如果该行不是以年份开头，则保留上一行”。