如何用Ruby插件处理嵌套XML，仅替换Item内的objectMessage？

需求场景 #

需要仅替换XML日志中<Item>标签下的<objectMessage>内容为<objectMessage>MESSAGE HAS BEEN REMOVED</objectMessage>，避免mutate插件gsub全局替换所有<objectMessage>的问题。

原始XML示例 #

<QuerySiteInformation>
    xmlns="http://www.example.com"
    <Site>
        <id>abc-cde-fvvvv</id>
        <Item>
            <id>e5753ead-d202-451e-92cc-ea49d0a6bdf5</id>
            <code>67448833344443</code>
            <objectMessage>Internal> message shown here in multiple lines</objectMessage>
            <reference>/</reference>
        </Item>
    </Site>
    <SiteInteraction>
        <InteractionItem>
            <Location>
                <id>8496940--2842047577555</id>
                <objectMessage>Internal> message shown here in multiple lines</objectMessage>
            </Location>
        </InteractionItem>
    </SiteInteraction>
</QuerySiteInformation>

Ruby插件配置方案 #

利用Logstash内置的Ruby插件，结合Nokogiri XML解析库实现精准定位替换：

filter {
  ruby {
    code => '
      require "nokogiri"

      # 读取原始XML字段，请根据实际字段名修改（比如你的字段是"xml_content"就改成对应名称）
      raw_xml = event.get("message")
      return unless raw_xml

      # 解析XML文档
      xml_doc = Nokogiri::XML(raw_xml)
      # 定义XML命名空间，匹配原XML中的xmlns属性
      namespace = {"ns" => "http://www.example.com"}

      # 精准定位所有<Item>下的<objectMessage>节点
      xml_doc.xpath("//ns:Item/ns:objectMessage", namespace).each do |target_node|
        # 替换节点内容
        target_node.content = "MESSAGE HAS BEEN REMOVED"
      end

      # 将修改后的XML写回原字段
      event.set("message", xml_doc.to_xml)
    '
  }
}

关键说明 #

1. 命名空间处理：原XML包含xmlns="http://www.example.com"，必须在xpath中指定命名空间前缀才能正确匹配节点，否则会找不到目标标签。
2. 精准定位：//ns:Item/ns:objectMessage的xpath表达式确保只匹配<Item>直接或间接子节点中的<objectMessage>，不会影响其他位置的同标签。
3. 字段适配：如果你的XML内容不是存在message字段中，需要修改event.get和event.set中的字段名称为实际字段名。
4. 可靠性：Nokogiri是专业XML解析库，能处理多行内容、嵌套标签等复杂场景，比正则表达式更稳定可靠。

内容的提问来源于stack exchange，提问作者CA-CB-TellMe