Fluentd过滤器中基于日志字段内容生成status字段的实现问题求助

给你两个可行的方案，分别对应你尝试的两种思路，同时会说明你之前配置失效的原因：

方案1：修正Ruby条件表达式配置 #

你之前的核心问题是用了puts——这个方法是把内容输出到Fluentd的控制台日志，而不是将值赋给status字段。在record_transformer的Ruby表达式里，你需要直接返回要赋值的内容，而非使用输出语句。

正确配置如下：

<filter **>
  @type record_transformer
  enable_ruby true
  <record>
    status "${
      if record.key?('log') && record['log'].downcase.include?('error:')
        'error'
      elsif record.key?('log') && record['log'].downcase.include?('ok:')
        'ok'
      end
    }"
  </record>
</filter>

我额外加了record.key?('log')的判断，避免当log字段不存在时抛出Ruby异常，让配置更健壮。

方案2：使用正则表达式实现 #

你的正则配置失效是因为匹配规则太严格（比如强制要求关键字前有空格、使用了可能不符合日志格式的单词边界），且scan的结果处理逻辑不对。下面是两种更可靠的正则方案：

思路1：正则捕获关键字 #

直接匹配error:或ok:，捕获关键字后返回对应值：

<filter **>
  @type record_transformer
  enable_ruby true
  <record>
    status "${
      if record.key?('log')
        match_result = record['log'].match(/(error|ok):/i)
        match_result ? match_result[1].downcase : nil
      end
    }"
  </record>
</filter>

如果没匹配到目标字符串，status会被设为nil，你也可以改成空字符串或其他默认值。

思路2：正则判断存在性 #

用正则的匹配操作符判断是否包含目标字符串，逻辑更贴近你的原始需求：

<filter **>
  @type record_transformer
  enable_ruby true
  <record>
    status "${
      if record.key?('log')
        if record['log'] =~ /error:/i
          'error'
        elsif record['log'] =~ /ok:/i
          'ok'
        end
      end
    }"
  </record>
</filter>

你的原始配置失效原因说明 #

• 第一个配置：puts的返回值是nil，所以你的status字段实际被赋值为nil，而非预期的'error'或'ok'。
• 第二个正则配置：
  1. 正则里的^.* 和[[:<:]]强制要求关键字前有空格和单词边界，可能和你的实际日志格式不匹配；
  2. scan返回的是匹配结果数组，first.compact无法直接得到干净的'error'或'ok'字符串。

内容的提问来源于stack exchange，提问作者Ankita Chowdhury