字段引用深入

通常，能够通过名称引用字段或字段集合是很有用的。为此，您可以使用 Logstash 字段引用语法。

访问字段的语法指定了字段的完整路径，每个片段都用方括号括起来。当字段名包含方括号时，它们必须被正确转义。

字段引用可以在您的管道配置的条件语句中、作为管道插件的字符串参数或在管道插件将使用的 sprintf 语句中以字面量形式表示。

filter {
  #  +----literal----+     +----literal----+
  #  |               |     |               |
  if [@metadata][date] and [@metadata][time] {
    mutate {
      add_field {
        "[@metadata][timestamp]" => "%{[@metadata][date]} %{[@metadata][time]}"
      # |                      |    |  |               |    |               | |
      # +----string-argument---+    |  +--field-ref----+    +--field-ref----+ |
      #                             +-------- sprintf format string ----------+
      }
    }
  }
}

下面是字段引用的形式语法，附带说明和示例。

字段引用字面量是一个或多个路径片段的序列，可以直接在 Logstash 管道条件中使用，无需任何额外的引号（例如 [request]，[response][status]）。

fieldReferenceLiteral
  : ( pathFragment )+
  ;

事件 API 的方法，用于操作事件的字段或使用 sprintf 语法，比管道语法在接受为字段引用方面更灵活。顶级字段可以直接通过其字段名引用，而无需方括号，并且对复合字段引用有一些支持，简化了以编程方式生成的字段引用的使用。

因此，用于事件 API 的字段引用是以下之一：

eventApiFieldReference
  : fieldReferenceLiteral
  | fieldName
  | compositeFieldReference
  ;

路径片段是用方括号括起来的字段名（例如，[request]）。

pathFragment
  : '[' fieldName ']'
  ;

字段名是一系列不是方括号（[ 或 ]）的字符。

fieldName
  : ( ~( '[' | ']' ) )+
  ;

在某些情况下，可能需要以编程方式从一个或多个字段引用组合字段引用，例如在插件中操作字段或使用 Ruby Filter 插件和事件 API 时。

    fieldReference = "[path][to][deep nested field]"
    compositeFieldReference = "[@metadata][#{fieldReference}][size]"
    # => "[@metadata][[path][to][deep nested field]][size]"

复合字段引用是一个或多个路径片段或嵌入式字段引用的序列。

compositeFieldReference
  : ( pathFragment | embeddedFieldReference )+
  ;

事件 API 支持复合字段引用，但不支持作为管道配置中的字面量。

embeddedFieldReference
  : '[' fieldReference ']'
  ;

嵌入式字段引用是本身用方括号（[ 和 ]）括起来的字段引用，并且可以是复合字段引用的组成部分。

为了让 Logstash 引用其名称包含在字段引用语法中具有特殊含义的字符的字段，必须转义该字符。可以全局配置 Logstash 以使用两种字段引用转义模式之一