如何在Datadog中解析logfmt格式的错误日志？

一、明确日志格式特征 #

先确认你的logfmt日志里exc_info的典型结构，比如：

time=2024-05-20T12:34:56Z level=ERROR logger=app.core msg="DB connection failed" correlation_id=abc123 client_id=cli456 project_id=proj789 exc_info="Traceback (most recent call last):\n File "app/db.py", line 42, in connect\n raise ConnectionError("Timeout")\nConnectionError: Timeout"

这里exc_info是带换行和转义引号的字符串字段，Datadog默认logfmt解析器常因换行或嵌套内容导致字段截断、解析错误。

二、具体解析配置步骤 #

1. 启用基础logfmt解析 #

在Datadog日志管道中添加Logfmt Parser处理器，确保time、level、logger等基础字段正常提取。若存在重复字段，勾选“Allow duplicate keys”选项。

2. 针对exc_info的精准处理 #

方案A：使用Grok Parser

添加Grok Parser处理器，自定义规则匹配完整的exc_info内容：

• 先定义自定义Grok模式：

  EXC_INFO %{DATA:exc_info:raw}
  

• 再编写匹配规则，锁定logfmt格式中exc_info的键值对：

  exc_info="%{EXC_INFO}"
  

  其中:raw修饰符会保留exc_info内的换行、转义字符等原始内容，避免自动转义或截断。

方案B：使用Regex Processor

若Grok适配性不佳，直接用正则匹配：

• 正则表达式（针对logfmt中exc_info的键值对）：

  exc_info="(?P<exc_info>(?:\\.|[^"])*)"
  

  该正则会匹配exc_info="之后的所有内容，直到遇到未被转义的双引号，确保完整捕获包含换行和转义引号的回溯信息。

3. 可选：拆分exc_info细节字段 #

若需要将回溯信息拆分为错误类型、错误消息、栈帧等细粒度字段，可添加String Processor或Grok Parser二次处理：

• 比如用Grok拆分错误类型和消息：

  %{DATA}%{WORD:error_type}: %{DATA:error_message}
  

  直接针对已提取的exc_info字段内容解析。

三、验证解析效果 #

在Datadog日志管道的「Test」界面，输入示例日志测试处理器解析结果，确保exc_info字段完整提取无截断。若因换行导致单条日志被拆分，可在Logfmt Parser中开启「Multiline processing」，设置行首匹配规则（比如以time=作为日志起始行）。

内容的提问来源于stack exchange，提问作者Lajos