日期模式在logstash中无法按预期工作

Question

我正在尝试使用以下日期过滤器将字符串转换为日期，但它似乎不起作用。

示例输入数据（字符串）- 2020 年 1 月 20 日星期一 09:20:35 GMT

我首先使用 mutate gsub 删除呈现以下字符串输出的 GMT - Mon Jan 20 09:20:35 2020

我的 gsub mutate 过滤器看起来像这样 -

mutate { gsub => [ "TimeStamp", "GMT", "" ] }

现在，我正在使用日期过滤器将 gsub 输出转换为日期格式，但它似乎不起作用-

date {
match => [ "TimeStamp", "EEE MMM dd HH:mm:ss  yyyy" ]
target => "TimeStamp"
locale => "en"
}

我也试过跟随但没有成功-

date {
match => [ "TimeStamp", "EEE\sMMM\sdd\sHH:mm:ss\s+yyyy" ]
target => "TimeStamp"
timezone => "Etc/GMT"
locale => "en"
}

Answer 1

日期模式应该是

MMM dd HH:mm:ss yyyy

也许您必须在年份之前添加一些额外的空格（看起来您的日志中有它们）。

您需要使用 MMM（缩写的月份名称）而不是 EEE（工作日名称缩写）。