Logstash - Dissect 的映射是否支持多重匹配？答案

【问题标题】：Logstash - Does Dissect’s mapping support multiple match?Logstash - Dissect 的映射是否支持多重匹配？
【发布时间】：2020-02-20 19:37:09
【问题描述】：

由于我的日志有多个模式，我需要使用多个剖析模式，以便如果一个模式无法识别其他模式可以捕获的日志。以下伪配置工作，

"message" => "pattern1"

或者

"message" => "pattern2"

但以下配置不起作用，

"message" => ["pattern1", "pattern2"]

dissect 支持这种匹配吗？

【问题讨论】：

【解决方案1】：

不，dissect 只支持每个字段的一个映射。

如果您的日志有多种模式，则需要使用grok，它支持多种匹配模式。

根据您的日志消息如何，您可以使用条件组合来过滤您的消息并将每条消息发送到匹配的dissect，或组合grok 和dissect 来解析消息的常见部分。

您也可以通过_dissectfailure标签进行过滤，如果您的第二个模式与dissect不匹配，它将收到此标签，然后您可以应用匹配的dissect

【讨论】：

嗯，但我在以下帖子/答案中看到了类似的内容，github.com/logstash-plugins/logstash-filter-dissect/issues/…
这个链接是一个开放的问题，要求支持多种模式，您链接的帖子只是有人讨论如果实现它会如何工作，而不是它是如何工作的，目前 dissect 只支持每个映射字段。