带有特殊符号的数据狗方面路径答案

【问题标题】：datadog facet path with special symbols带有特殊符号的数据狗方面路径
【发布时间】：2020-12-30 16:53:15
【问题描述】：

我在日志上创建了一个索引，并且路径具有特殊字符： 例如：

@params.rs:orgId
@params.rs:format

示例网址：

10.32.45.56 - user [12/Sep/2020:06:25:51 -0400] "GET /v1/resources/manifestinfo?rs:format=json&rs:orgId=123&rs:correlationId=39e8f697-3549-a142-224b-251fc6672a94-32edb97dc3f8 HTTP/1.1" 200 14002 - -

grok 解析器：

rule1 %{ipv4:network.client.ip}\s+-\s+%{word:user}\s+\[%{date("dd/MMM/yyyy:HH:mm:ss Z"):date}\]\s+\"%{word:http.module}\s+\/v1\/resources\/+%{word:onemds.module}\?+%{data:onemds.params:keyvalue("=","/:","","&")}

当我尝试为@params.rs:orgId 添加构面时

我收到错误

保存构面时出错：构面路径必须包含只有字母、数字或字符 - _ 。 @$

【问题讨论】：

标签： regex regex-negation grok datadog

【解决方案1】：

通过以下方式解决了这个问题

rule1 %{ipv4:network.client.ip}\s+-\s+%{word:user}\s+\[%{date("dd/MMM/yyyy:HH:mm:ss Z"):date}\]\s+\"%{word:http.module}\s+\/v1\/resources\/+%{word:onemds.module}\?+%{data:onemds.params:keyvalue("=","/:","",":&")}

没想到分隔符可以在:&上方占用2个字符

这有助于删除除第一个之外的所有 rs:。这不是一种优雅的方法，但它适用于我的用例。

【讨论】：