什么是多行（logstash）的正则表达式模式

Question

目前我有：

multiline {
 type => "tomcat"
 pattern => "(^.+Exception: .+)|(^\s+at .+)|(^\s+... \d+ more)|(^\s*Caused by:.+)|(---)"
 what => "previous"
}

这是我日志的一部分：

TP-xxxxxxxxxxxxxxxxxxxxxxxx: xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx 
    at xxxxxx
Caused by: xxxxxxxxx
    at xxxxxx
Caused by: xxxxxxxxx   
--- The error occurred in xxxxxxxxx.  
--- The error occurred xxxxxxxxxx.  

我的模式在这里不起作用。可能是因为我在末尾添加了（---）。添加 --- 行的正确正则表达式是什么？

谢谢

Answer 1

您还需要考虑该行中的其他字符：

(^---.*$)

Answer 2

我已将您的正则表达式和文本放入这些在线正则表达式好友中，并尝试了 Eric 的建议：

• http://www.regextester.com/
• http://www.regexr.com/

有时这些在线好友确实有助于理清思路。这张图片显示了识别的内容：

如果我坚持这一点，我就不会再关注正则表达式本身了。相反，我会检查以下几点：

• 由于有不同的正则表达式方言，logstash 使用什么方言？这对我的模式意味着什么？
• 是否有任何未设置但需要设置的特定于 logstash 的修饰符？
• 正如 Ben 提到的，还有更多过滤工具。改用grok 会有帮助吗？

Answer 3

如果一个日志事件以时间戳或特定单词开头，例如，在您的日志中，如果所有日志都以 TP 开头，那么您可以将其用作过滤模式。

    multiline {
            pattern => "^TP"
            what => "previous"
            negate => true
    }

使用此过滤器，您可以轻松地多行日志，无需使用复杂的模式。