转换编辑

convert 处理器将事件中的字段转换为不同的类型,例如将字符串转换为整数。

支持的类型包括:integerlongfloatdoublestringbooleanip

ip 类型实际上是 string 的别名,但增加了值的验证,即该值必须是 IPv4 或 IPv6 地址。

processors:
  - convert:
      fields:
        - {from: "src_ip", to: "source.ip", type: "ip"}
        - {from: "src_port", to: "source.port", type: "integer"}
      ignore_missing: true
      fail_on_error: false

convert 处理器具有以下配置设置

字段
(必填)这是要转换的字段列表。列表中必须至少包含一项。列表中的每一项都必须有一个 from 键,用于指定源字段。to 键是可选的,用于指定将转换后的值分配到哪里。如果省略 to,则将原地更新 from 字段。type 键指定要将值转换到的数据类型。如果省略 type,则处理器将在不进行任何类型转换的情况下复制或重命名该字段。
ignore_missing
(可选)如果为 true,则当在事件中找不到 from 键时,处理器将继续处理下一个字段。如果为 false,则处理器将返回错误并停止处理其余字段。默认值为 false
fail_on_error
(可选)如果为 false,则将忽略类型转换错误,并且处理器将继续处理下一个字段。默认值为 true
标签
(可选)此处理器的标识符。对调试很有用。
模式
(可选)当为字段同时定义了 fromto 时,mode 控制在类型转换成功时是 copy 还是 rename 字段。默认值为 copy