如何在Kibana查询中提取日志用户名并保存至独立字段？

方法1：Discover里可视化提取（对标Splunk rex） #

1. 打开Discover，选好目标索引
2. 找到一条完整日志并展开详情，直接选中USER 后的用户名内容，右键点击「提取字段」
3. 弹窗里字段名填username，正则模式下Kibana会自动生成匹配规则，也可以手动改成更精准的，比如针对你的日志格式用- USER (\S+)（\S+匹配非空白格式的用户名）
4. 关键选择「仅用于当前搜索」，保存后username字段就会出现在当前搜索结果中，可直接用于筛选或后续操作，不会影响其他查询

方法2：DSL查询里写脚本（对标awk处理） #

如果习惯用查询语句，切换到DSL模式，通过脚本字段临时提取：

{
  "query": {
    "match_all": {}
  },
  "script_fields": {
    "username": {
      "script": {
        "source": """
          def log_content = doc['message'].value;
          def user_pos = log_content.indexOf(' - USER ');
          if (user_pos != -1) {
            return log_content.substring(user_pos + 8);
          }
          return null;
        """
      }
    }
  }
}

假设日志内容存在message字段中，这段脚本会截取- USER之后的内容作为用户名，仅在当前查询生效，完全不影响索引全局性能

方法3：Lens可视化直接创建计算字段 #

做可视化时可直接在Lens内生成目标字段：

1. 打开Lens，选择对应数据集
2. 点击「字段」面板的「创建计算字段」，选择「脚本」类型
3. 输入以下脚本：

def log = doc['message'].value;
def pos = log.indexOf(' - USER ');
return pos != -1 ? log.substring(pos + 8) : null;

4. 命名为username，保存后即可直接用该字段做统计、可视化，仅在当前Lens图表中生效

小提示 #

• 所有方法均为临时生效，不会修改原始索引数据，也不会拖慢全局搜索，完全匹配你需要的Splunk rex+table或grep/awk的场景
• 正则或脚本可根据实际用户名格式调整，比如用户名含特殊字符时，可替换\S+为对应的匹配规则

内容的提问来源于stack exchange，提问作者Erik