Splunk日志采集XML配置路径含$无法获取日志的解决方法

问题分析 #

你配置的XML中，路径<pattern>\xyz\abc$\sample\*txt</pattern>包含非法字符$，且$在Splunk路径匹配规则中属于正则特殊字符（默认表示行尾），双重因素导致日志无法被正常采集。

解决方案 #

1. 转义特殊字符并修正路径格式 #

将路径中的$用反斜杠转义，同时XML语法要求路径中的反斜杠需用双反斜杠\\表示，另外注意文件匹配模式需修正为*.txt（原配置的*txt属于格式错误），修改后的完整配置如下：

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE logging SYSTEM "loggingdg">
<logging id="xyx" version="3">
    <file>
        <pattern>\\xyz\\abc\\$\\sample\\*.txt</pattern>
    </file>
</logging>

2. 验证配置与权限 #

• 修改配置后重启Splunk Agent，使新配置生效。
• 确认\xyz\abc$\sample目录真实存在，且Splunk Agent拥有该目录的读取权限。
• 若使用Splunk Universal Forwarder，可通过以下命令验证配置有效性：

splunk btool inputs list --debug

检查输出中是否存在该路径的配置项，且无错误提示。

内容的提问来源于stack exchange，提问作者Techie