Logstash if条件失效求助：自定义标签无法正常添加移除

核心排查与解决方向 #

1. 确认字段路径与存在性 #

Logstash的字段路径严格区分大小写和层级，首先要验证[records][properties][resourceDisplayName]是否真实存在于事件中：

• 临时在配置末尾添加stdout { codec => rubydebug }输出，直接查看事件的完整结构，确认字段的实际名称、层级和值。
• 常见坑点：字段名大小写错误（比如实际是ResourceDisplayName）、嵌套层级偏差（比如是[record]而非[records]）。

2. 核对字段值的实际内容 #

• 正则匹配失效：可能是值存在大小写差异，改用不区分大小写的正则语法：=~ /(?i)Outlook/。
• 精确匹配==失效：检查值是否完全一致，比如有没有前后空格、全角字符等，通过rubydebug输出查看原始值。
• 字段类型问题：如果resourceDisplayName是数组而非字符串，in或正则匹配都不生效，需改用contains函数或遍历数组处理。

3. 检查配置执行顺序 #

如果mutate过滤器放在数据解析步骤（比如json { source => "message" }）之前，此时records字段还未被解析出来，if条件自然不会触发。必须确保字段解析过滤器在标签逻辑之前执行。

4. 验证标签操作逻辑 #

• 确认Windows标签是否在当前if条件之后被其他过滤器重新添加，导致remove操作被覆盖。
• 可以在关键过滤器后添加临时stdout输出，跟踪标签的实时变化情况。

修正后的参考配置 #

# 先解析出records字段（示例为从message字段解析JSON）
json {
  source => "message"
}

# 执行标签处理逻辑
if [records][properties][resourceDisplayName] =~ /(?i)Windows Azure Active Directory/ {
  mutate {
    remove_tag => [ "Windows" ]
    add_tag => [ "Azure" ]
  }
}

if [records][properties][resourceDisplayName] =~ /(?i)Outlook/ {
  mutate {
    remove_tag => [ "Windows" ]
    add_tag => [ "Outlook" ]
  }
}

# 临时输出用于验证
stdout {
  codec => rubydebug
}

内容的提问来源于stack exchange，提问作者h0llym0lly