使用 logstash 修改字段的内容

Question

我正在使用 logstash 从 sql 数据库中获取数据。有一个名为“代码”的字段，其中的内容有 这个结构：

PO0000001209

ST0000000909

而我想要做的是删除字母后的6个零以获得以下结果：

PO1209

ST0909

我会将结果放在另一个名为“code_short”的字段中，并将其用于我在 elasticsearch 中的查询。我已经配置了输入 和 logstash 中的输出，但我不知道如何使用 grok 或 mutate 过滤器来做到这一点

我已经阅读了一些示例，但我对此很陌生，我有点卡住了。

任何帮助将不胜感激。谢谢。

Answer 1

您可以为此使用mutate/gsub 过滤器，但这将替换code 字段的值：

filter {
  mutate {
    gsub => [
      "code", "000000", "",
    ]
  }
}

另一种选择是使用grok 过滤器，如下所示：

filter {
  grok {
    match => { "code" => "(?<prefix>[a-zA-Z]+)000000%{INT:suffix}" }
    add_field => { "code_short" => "%{prefix}%{suffix}"}
  }
}