Graylog中message与full_message字段的差异是什么？

你的推测部分正确，但细节上需要修正：

• message字段：通常是从进入Graylog的原始日志里提取出的核心内容，可能经过截断、标准化处理，并非完全未加工的原始日志
• full_message字段：一般是完整的原始日志内容，保留了日志的全部原始信息，并非Graylog添加元数据后的版本

二者的其他差异包括：

• 内容完整性：message往往是full_message的精简提取版，只保留日志的关键文本；full_message会保留日志的所有原始内容，包括冗余信息、前缀后缀等
• 截断规则：如果原始日志长度超过Graylog配置的message字段最大阈值，message会被自动截断，而full_message不受该限制，始终保留完整内容
• 使用场景：日常快速查看日志核心信息、基础搜索用message更高效；排查复杂问题需要完整上下文时，full_message是更合适的选择

内容的提问来源于stack exchange，提问作者Daniel