logstash6配置语法中的条件判断

有时您只想在特定条件下过滤或输出事件。为此，您可以使用条件（conditional）。比如在elk系统中想要添加一个type类型的关键字来根据不同的条件赋值，最后好做统计。

Logstash中的条件查看和行为与编程语言中的条件相同。

条件语支持if，else if和else语句并且可以嵌套。

条件语法如下：

1
if EXPRESSION {
2
  ...
3
} else if EXPRESSION {
4
  ...
5
} else {
6
  ...
7
}

比较操作：

相等: ==, !=, <, >, <=, >=
正则: =~(匹配正则), !~(不匹配正则)
包含: in(包含), not in(不包含)

布尔操作：

and(与), or(或), nand(非与), xor(非或)

一元运算符：

表达式可能很长且很复杂。表达式可以包含其他表达式，您可以使用！来取反表达式，并且可以使用括号（…）对它们进行分组。

!(取反)
()(复合表达式), !()(对复合表达式结果取反)

实例

如若action的值是login,则通过mutate filter删除secret字段：

1
filter {
2
  if [action] == &quot;login&quot; {
3
    mutate { remove_field =&gt; &quot;secret&quot; }
4
  }
5
}

若是需要通过正则匹配（即，当if的表达式为正则时），匹配成功后添加自定义字段：

1
filter {
2
  if [message] =~ /\w+\s+\/\w+(\/learner\/course\/)/ {
3
    mutate {
4
      add_field => { "learner_type" => "course" }
5
    }
6
  }
7
}

在一个条件里指定多个表达式：

1
output {
2
  # Send production errors to pagerduty
3
  if [loglevel] == "ERROR" and [deployment] == "production" {
4
    pagerduty {
5
    ...
6
    }
7
  }
8
}

在in条件，可以比较字段值：

1
filter {
2
  if [foo] in [foobar] {
3
    mutate { add_tag => "field in field" }
4
  }
5
  if [foo] in "foo" {
6
    mutate { add_tag => "field in string" }
7
  }
8
  if "hello" in [greeting] {
9
    mutate { add_tag => "string in field" }
10
  }
11
  if [foo] in ["hello", "world", "foo"] {
12
    mutate { add_tag => "field in list" }
13
  }
14
  if [missing] in [alsomissing] {
15
    mutate { add_tag => "shouldnotexist" }
16
  }
17
  if !("foo" in ["hello", "world"]) {
18
    mutate { add_tag => "shouldexist" }
19
  }
20
}

not in示例：

1
output {
2
  if "_grokparsefailure" not in [tags] {
3
    elasticsearch { ... }
4
  }
5
}

@metadata field

在logstash1.5版本开始，有一个特殊的字段，叫做@metadata。@metadata包含的内容不会作为事件的一部分输出。

1
input { stdin { } }
2

3
filter {
4
  mutate { add_field => { "show" => "This data will be in the output" } }
5
  mutate { add_field => { "[@metadata][test]" => "Hello" } }
6
  mutate { add_field => { "[@metadata][no_show]" => "This data will not be in the output" } }
7
}
8

9
output {
10
  if [@metadata][test] == "Hello" {
11
    stdout { codec => rubydebug }
12
  }
13
}

输出结果

1
$ bin/logstash -f ../test.conf
2
Pipeline main started
3
asdf
4
{
5
    "@timestamp" => 2016-06-30T02:42:51.496Z,
6
      "@version" => "1",
7
          "host" => "windcoder.com",
8
          "show" => "This data will be in the output",
9
       "message" => "asdf"
10
}

“asdf”变成message字段内容。条件与@metadata内嵌的test字段内容判断成功，但是输出并没有展示@metadata字段和其内容。

不过，如果指定了metadata => true，rubydebug codec允许显示@metadata字段的内容。

1
   stdout { codec => rubydebug { metadata => true } }

输出结果

1
$ bin/logstash -f ../test.conf
2
Pipeline main started
3
asdf
4
{
5
    "@timestamp" => 2016-06-30T02:46:48.565Z,
6
     "@metadata字段及其子字段内容。" => {
7
           "test" => "Hello",
8
        "no_show" => "This data will not be in the output"
9
    },
10
      "@version" => "1",
11
          "host" => "windcoder.com",
12
          "show" => "This data will be in the output",
13
       "message" => "asdf"
14
}

现在就可以见到@metadata字段及其子字段内容。

只有rubydebug codec允许显示@metadata字段的内容。

只要您需要临时字段但不希望它在最终输出中，就可以使用@metadata字段。

最常见的情景是filter的时间字段，需要一临时的时间戳。如：

1
input { stdin { } }
2

3
filter {
4
  grok { match => [ "message", "%{HTTPDATE:[@metadata][timestamp]}" ] }
5
  date { match => [ "[@metadata][timestamp]", "dd/MMM/yyyy:HH:mm:ss Z" ] }
6
}
7

8
output {
9
  stdout { codec => rubydebug }
10
}

输出结果

1
$ bin/logstash -f ../test.conf
2
Pipeline main started
3
02/Mar/2014:15:36:43 +0100
4
{
5
    "@timestamp" => 2014-03-02T14:36:43.000Z,
6
      "@version" => "1",
7
          "host" => "windcoder.com",
8
       "message" => "02/Mar/2014:15:36:43 +0100"
9
}