如何让GCP Logs Explorer从textPayload解析正确的日志Severity？

问题场景 #

服务生成的纯文本日志格式如下：

2022-07-25T06:31:52.909705Z, DEBUG, foo.fooApplication, using localDB path /config/LocalDB
2022-07-25T06:31:52.966801Z, DEBUG, localdb.LocalDBFactory, initializing password.foo.util.localdb.XodusLocalDB localDBProvider instance

GCP Logs Explorer读取后，错误地将所有日志的severity标记为ERROR，但textPayload中明确是DEBUG级别，示例解析结果：

[
  {
    "textPayload": "2022-07-25T05:38:41.012837Z, DEBUG, foo.fooApplication, using localDB path /config/LocalDB",
    "timestamp": "2022-07-25T05:38:41.013044676Z",
    "severity": "ERROR",
    "receiveTimestamp": "2022-07-25T05:38:46.103891084Z"
  },
  {
    "textPayload": "2022-07-25T05:38:41.018544Z, DEBUG, localdb.LocalDBFactory, initializing password.foo.util.localdb.XodusLocalDB localDBProvider instance",
    "timestamp": "2022-07-25T05:38:41.018744665Z",
    "severity": "ERROR",
    "receiveTimestamp": "2022-07-25T05:38:46.103891084Z"
  }
]

需要解决的问题：如何从textPayload中解析出正确的日志级别，修正GCP的severity字段？

可行解决方案 #

1. 配置GCP日志提取规则（Log Router） #

通过GCP Logging的日志路由提取规则，直接从textPayload中解析级别并覆盖severity：

• 进入Cloud Logging控制台，找到日志路由，选择目标路由（或新建路由）
• 在路由的“提取日志条目”配置中，添加正则提取规则：

  parse textPayload as timestamp:timestamp, severity:string, logger:string, message:string
  

  该规则会按逗号拆分textPayload，将第二个字段赋值给severity字段，覆盖原错误标记。注意确保提取的级别值匹配GCP支持的枚举（DEBUG、INFO、WARNING、ERROR等，大小写兼容）。

2. 改为输出结构化日志 #

直接修改服务日志输出格式为JSON结构化日志，GCP会自动识别severity字段：
调整后的日志示例：

{"timestamp": "2022-07-25T06:31:52.909705Z", "severity": "DEBUG", "logger": "foo.fooApplication", "message": "using localDB path /config/LocalDB"}

这种方式无需额外解析，是最稳定可靠的方案。

3. 通过Cloud Functions处理日志 #

如果无法修改服务日志格式，可借助Cloud Functions订阅日志，解析后重新写入正确日志：

• 创建Cloud Function，触发源选择“Cloud Logging”，设置目标日志过滤器
• 在函数代码中解析textPayload的逗号分隔内容，提取第二个字段作为severity，构造新日志条目写入Cloud Logging。

内容的提问来源于stack exchange，提问作者mbxzxz