如何使用regex从logstash中的字段键中删除前缀下划线

你可以使用 kv filter 使用正则表达式从键中删除前缀。它有助于自动解析属于 foo=bar 多样性,并具有配置选项 remove_char_key 用于从密钥中删除字符串的。

例如,这将删除 < , > , [, ] 和 , 键中的字符

filter {
  kv {
    remove_char_key => "<>\[\],"
  }
}

另一个选择是 remove_char_value 可用于从值中删除字符

例如,这将删除 < , > , [, ] 和 , 来自值的字符

filter {
  kv {
    remove_char_value => "<>\[\],"
  }
}

这些可以与 source 表演 key=value 搜寻

filter { 
  kv { 
    source => "message" 
    remove_char_value => "<>\[\],"
    remove_char_key => "<>\[\],"
  } 
}

请也看看 trim_key 和 trim_value 选项

如果只想删除名为 fieldname ,你可以使用:

  mutate {
    gsub => [
      "fieldname", "^_", ""
    ]
  }

看见 https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html#plugins-filters-mutate-gsub

你需要求助于 ruby 用于查找以开头的键的筛选器 _ 并基本上重命名它们(将值复制到新密钥,然后删除原始密钥):

filter {
  ruby {
    code => "
      event.to_hash.keys.each { |k|
         if k.start_with?('_')
          event.set(k[1,-1],event.get(k))
          event.remove(k)
       end
     }
   "
  }
}