Datadog Grok提取未按预期生效：处理器无报错但实际日志未解析字段

• 核对实际日志与测试样本的格式差异
  测试样本能匹配不代表实际日志格式完全一致，比如多了空格、大小写不一致、特殊符号差异等，都会导致Grok表达式失效。把实际未解析的日志复制到Grok调试工具里重新验证，调整表达式适配真实日志。
• 检查Pipeline的处理器执行顺序
  如果Pipeline里还有其他处理器，可能在Grok解析前就修改了原始日志字段，或者解析后的User.Email、User.Id被后续处理器覆盖、删除了。确认Grok处理器的位置是否在合适的环节，比如在字段过滤、转换之前执行。
• 验证索引的字段映射配置
  就算Grok解析出了目标字段，如果索引的映射里没有定义这两个字段，或者被设置为忽略、不可见，Kibana里也不会显示。查看对应索引的映射，确认User.Email和User.Id存在且类型正确（比如text或keyword）。
• 确认Grok处理器的执行条件
  检查Grok是否配置了if条件判断，如果实际日志不满足这个条件，处理器会直接跳过。比如条件写的是ctx.source == "app"，但实际日志的source字段值是application，就会导致不执行。
• 查看Pipeline的执行统计日志
  通过ES的API查看Pipeline的运行状态，确认是否有日志被成功处理，或者有没有错误：

  GET _ingest/pipeline/你的Pipeline名称/_stats
  

内容的提问来源于stack exchange，提问作者Leonardo