过滤 json 对象

Question

我的一些日志在其 message 字段中包含 json。我使用 json 过滤器如下：

  json {
    skip_on_invalid_json => true
    source => "message"
    target => "json"
  }

要尝试解析 message 字段，如果它包含有效的 json，请将其添加到 json 字段。 不幸的是，我有时会收到在 message 字段中包含像 "some random message" 这样的单个字符串的日志。在这些日志中，来自 message 的字符串最终出现在 json 中，并弄乱了索引映射。

我尝试通过添加以下内容来过滤掉它：

  prune {
    blacklist_values => { "json" => "/.+/" }
  }

但这似乎总是删除 json 字段。 有没有办法解析消息字段或仅当它包含一个对象而不是单个字符串时才保留json字段？

Answer 1

您可以使用 ruby​​ 过滤器来测试您感兴趣的领域

    ruby {
        code => '
            s = event.get("json")
            if s and s.instance_of? String
                event.remove("json")
            end
        '
    }

如果是散列或数组，则不会删除 [json]。