我怎样才能为这个日志写一个 grok 模式？答案

【问题标题】：How can I write a grok pattern for this log?我怎样才能为这个日志写一个 grok 模式？
【发布时间】：2021-01-28 09:52:37
【问题描述】：

日志：

[2021-01-27T11:51:18,838][INFO ][logstash.setting.writabledirectory] Creating directory {:setting=>"path.dead_letter_queue", :path=>"C:\\Pippo\\logstash-7.6.1\\data\\dead_letter_queue"}

【问题讨论】：

标签： elasticsearch logstash elastic-stack logstash-grok

【解决方案1】：

我建议您使用grokdebug 在线工具，该工具对于此类用例非常有用。这是第一个与数据行的必须部分匹配的 grok 表达式：

\[%{TIMESTAMP_ISO8601:timestamp}\]\[%{LOGLEVEL:level} \]\[%{GREEDYDATA:class}\] %{GREEDYDATA:action} \{:setting=>"%{GREEDYDATA:setting}", :path=>"%{PATH:path}"\}

此表达式是您的用例的起点。这个 grok 表达式的结果是这样的：

{
  "timestamp": [
    [
      "2021-01-27T11:51:18,838"
    ]
  ],
  "YEAR": [
    [
      "2021"
    ]
  ],
  "MONTHNUM": [
    [
      "01"
    ]
  ],
  "MONTHDAY": [
    [
      "27"
    ]
  ],
  "HOUR": [
    [
      "11",
      null
    ]
  ],
  "MINUTE": [
    [
      "51",
      null
    ]
  ],
  "SECOND": [
    [
      "18,838"
    ]
  ],
  "ISO8601_TIMEZONE": [
    [
      null
    ]
  ],
  "level": [
    [
      "INFO"
    ]
  ],
  "class": [
    [
      "logstash.setting.writabledirectory"
    ]
  ],
  "action": [
    [
      "Creating directory"
    ]
  ],
  "setting": [
    [
      "path.dead_letter_queue"
    ]
  ],
  "path": [
    [
      "C:\\Pippo\\logstash-7.6.1\\data\\dead_letter_queue"
    ]
  ],
  "UNIXPATH": [
    [
      null
    ]
  ],
  "WINPATH": [
    [
      "C:\\Pippo\\logstash-7.6.1\\data\\dead_letter_queue"
    ]
  ]
}

【讨论】：

不知道用grok debug是怎么工作的？没有结果@YLR
点击链接，将您的数据行放在顶部，然后粘贴下面的表达式。结果显示在底部。
答案是不匹配，为什么？，谢谢帮助
它匹配“某物”，你没有解释你想从这个数据行中提取什么，所以我不确定它只是它。
我想提取数据行中的所有内容。都在方括号之间。提前致谢。 @YLR