Grok自定义模式

Posted 2021-03-31

我的logstash中有简单的消息：

2018-09-30 20:25:07.708  INFO 8013 --- [nio-8443-exec-3] c.e.demo.controller.UsuarioController    : INICIO CHAMADA | 311

我想从此消息中删除以下字段。

"311"

答案

你快到了。你只需要用反斜杠逃避管道|字符（否则它匹配801之后的INFO），如下所示：

: INICIO CHAMADA | (?<identificador_chamada>[0-9]{3})
                 ^
                 |
             add this

你会得到这个

{
  "identificador_chamada": [
    "311"
  ]
}