Logstash日期過濾器

Question

我有一個日志文件，其日期具有以下格式

"respHdr":{"date":"Tue,%2008%20Jul%202014%2022:08:18%20GMT","expires":"Tue,%2008%20Jul%202014%2022:08:18%20GMT"}

如何使用logstash日期過濾器解析給定的日期格式？

Answer 1

看來您的日志是JSON格式的日期字段中帶有URLEncoded值，因此您需要做的第一件事是在input添加codec=>json或json { source => message } 。

在Logstash中將事件作為事件之后，您將需要解碼日期字段：

urldecode { field => 'respHdr.date' }
urldecode { field => 'respHdr.expires' }

然后最后解析這些字段中的日期：

date {
  target => '@timestamp'
  match => [ 'respHdr.date', 'WHATEVER_FORMAT_THAT_DATE_IS' ]
}
date {
  target => 'expires'
  match => [ 'respHdr.expires', 'WHATEVER_FORMAT_THAT_DATE_IS' ]
}

您需要查閱logstash日期文檔，以了解該日期的格式。