多行的 Grok 模式不起作用

Question

 第一| 2nd|3rd |4th |5th |6th |7th |8th |2012.07.12 05:31:04 |10th |ProductDir: C:\samplefiles\test\storage\4.0 (LF)
C:\samplefiles\test\storage\5.0 (LF)
样品目录：（LF）

注意：LF -> 换行正在追加

我尝试了以下选项.. 似乎没有任何效果

1. match => [ "message", "(?m)....
2. (?<message>(.|\r|\n)*)
3. Greedydata 也无法正常工作，因为它没有考虑新行。
4. mutate {gsub => ["message", "\n", "LINE_BREAK"] }

5. codec => multiline { pattern => "^\s" negate => true what => previous }

Answer 1

(?m)%{GREEDYDATA} 将匹配任何多行日志，包括您的。 请测试一下here

Answer 2

下面的对我有用。

codec => multiline{
    pattern => "^\s*\d{1,}\|"
    negate => "true"
    what => "previous"
}