Codec plugins ? multiline

Codec plugins ? multiline

multiline codec 会折叠多行消息,合并它们到一个事件


这个codec 原始的目的是允许 连接多行信息从文件到一个单独的事件。

比如, 连接Java 异常和stacktrace 消息到一个单独的事件


配置看起来像这样:

input {
  stdin {
    codec => multiline {
      pattern => "pattern, a regexp"
      negate => "true" or "false"
      what => "previous" or "next"
    }
  }
}

input {
        file {
                type => "zj_api"
                path => ["/data01/applog_backup/zjzc_log/zj-api*catalina*"]
                codec => multiline {
                pattern => "^\s+%{TIMESTAMP_ISO8601}"
                negate => true
               what => "previous"
                }
            }
    
       file { 
                type => "wj_api" 
                path => ["/data01/applog_backup/winfae_log/wj-api*catalina*"] 
                  codec => multiline {
                pattern => "^\s+%{TIMESTAMP_ISO8601}"
                negate => true
               what => "previous"
                }
        } 

 
}

pattern 应该匹配你相信的作为一个指示字段是一个多行事件的一部分

what 必须是 previous or next 表明和多行事件的关系

negate 可以是true 或者false(默认false) 如果是true, 一个消息不匹配模式 会组成一个多行过滤器的匹配

例如, Java stack traces 是多行匹配和通常有消息开始在左边,每个后续行是缩进的 像这样:

input {
  stdin {
    codec => multiline {
      pattern => "^\s"
      what => "previous"
    }
  }
}


这个意思是任何行以空格开头属于先前的行

另外一个例子是合并多行不是以日志开始的 合并到上一行

input {
  file {
    path => "/var/log/someapp.log"
    codec => multiline {
      # Grok pattern names are valid! :)
      pattern => "^%{TIMESTAMP_ISO8601} "
      negate => true
      what => previous
    }
  }
}
这个意思是任何行不以时间戳开头的都合并到上一行

一个常见的例子是C的续行(反斜杠),

filter {
  multiline {
    type => "somefiletype"
    pattern => "\\$"
    what => "next"
  }
}

这表示, 任何行以反斜杠借宿应该合并到下一行

Synopsis 简介:

插件支持下面的配置选项:

需要的配置选项:

multiline {
      pattern => ...
      what => ...
  }