在Logstash Grok過濾器中從消息中獲取可選字段

Question

我正在嘗試提取此日志行中的毫秒數

20190726160424 [INFO] [concurrent / forasdfMES-managedThreadFactory-Thread-10]-Metricsdceptor：##通話結束：Historirrtory.getHistrrOrder花了2979毫秒

問題是，並非所有日志行都包含該字符串。現在，我想有選擇地將其提取到持續時間字段中。 我試過了，但是什么也沒發生..沒有錯誤，也沒有結果。

 grok
 {
   match => ["message", "(took (?<duration>[\d]+) ms)?"]
 }

我做錯了什么？

多謝你們 ！

Answer 1

我無法解釋原因，但是如果您錨定它會起作用

grok { match => { "message" => "(took (?<duration>\d+) ms)?$" } }

Answer 2

一種解決方案是僅將grok過濾器應用於以ms結尾的日志行。 可以使用配置中的條件來完成。

if [message] =~ /took \d+ ms$/ {
   grok {
     match => ["message", "took %{NUMBER:duration} ms"]
   }
}