字符串解析
编辑字符串解析
编辑dissect 处理器使用定义的模式对传入的字符串进行分词。
processors:
- dissect:
tokenizer: "%{key1} %{key2} %{key3|convert_datatype}"
field: "message"
target_prefix: "dissect"
dissect 处理器具有以下配置设置
-
分词器 - 用于定义解析模式的字段。可以使用
|作为分隔符，在键之后提供可选的转换数据类型，将值从字符串转换为整数、长整数、浮点数、双精度浮点数、布尔值或 IP 地址。 -
字段 - (可选) 要进行分词的事件字段。默认为
message。 -
目标前缀 - (可选) 将提取值写入的字段名称。当定义为空字符串时，处理器将在事件的根目录下创建键。默认为
dissect。当目标键已存在于事件中时，处理器不会替换它并会记录错误；在使用 dissect 之前，您需要删除或重命名该键，或者启用overwrite_keys标志。 -
忽略失败 - (可选) 用于控制如果分词器未能匹配 message 字段是否返回错误的标志。如果设置为 true，则处理器将静默恢复原始事件，允许执行后续处理器（如果有）。如果设置为 false（默认值），则处理器将记录错误，阻止执行其他处理器。
-
覆盖键 - (可选) 设置为 true 时，处理器将覆盖事件中现有的键。默认为 false，当键已存在时会导致处理器失败。
-
修剪值 -
(可选) 启用对提取值的修剪。有助于去除前导和/或尾随空格。可能的值为：
-
none：（默认）不执行修剪。 -
left：左侧（前导）修剪值。 -
right：右侧（尾随）修剪值。 -
all：对前导和尾随值进行修剪。
-
-
修剪字符 - (可选) 要从值中修剪的字符集，在启用修剪时使用。默认情况下，修剪空格字符（
" "）。要修剪多个字符，只需将其设置为包含所有要修剪字符的字符串。例如，trim_chars: " \t"将修剪空格和/或制表符。
为了使分词成功，必须找到并提取所有键，如果找不到其中一个键，则会记录错误，并且不会对原始事件进行任何修改。
键可以包含除保留的后缀或前缀修饰符之外的任何字符：/，&，+，# 和 ?。
有关支持的条件列表，请参阅条件。
解析示例
编辑对于此示例，假设应用程序生成以下消息：
"321 - App01 - WebServer is starting" "321 - App01 - WebServer is up and running" "321 - App01 - WebServer is scaling 2 pods" "789 - App02 - Database is will be restarted in 5 minutes" "789 - App02 - Database is up and running" "789 - App02 - Database is refreshing tables"
使用 dissect 处理器将每条消息拆分为三个字段，例如 service.pid、service.name 和 service.status。
processors:
- dissect:
tokenizer: '"%{service.pid|integer} - %{service.name} - %{service.status}"'
field: "message"
target_prefix: ""
此配置生成如下字段：
"service": {
"pid": 321,
"name": "App01",
"status": "WebServer is up and running"
},
service.name 是一个 ECS 关键字字段，这意味着您可以在 Elasticsearch 中使用它进行过滤、排序和聚合。
尽可能使用与 ECS 兼容的字段名称。有关更多信息，请参阅Elastic Common Schema 文档。