Logstash动态字段值修改失效，如何正确处理？

原代码的核心问题 #

1. 字段类型不匹配：如果state_ls_keyvalue是布尔类型，判断== "False"永远不成立，逻辑完全不符合预期；
2. add_field行为不符合需求：add_field会在字段已存在时将值转为数组（而非覆盖），无法实现"修改值"的效果；
3. 冗余的mutate块：分两个mutate执行remove和add，既低效又没必要。

修正后的代码方案 #

根据你的需求，我们需要覆盖动态字段的值，优先使用mutate的replace动作（不存在则创建字段，存在则直接覆盖值），同时确保条件判断匹配字段实际类型：

场景1：state_ls_keyvalue为字符串类型（值为"False"/"True"） #

if [state_ls_keyvalue] == "False" {
    mutate {
        replace => { "%{field_ls_keyvalue}" => "%{enrich_column}" }
    }
} else {
    mutate {
        # 先移除旧字段再赋值，合并到同一个mutate块
        remove_field => [ "%{field_ls_keyvalue}" ]
        replace => { "%{field_ls_keyvalue}" => "%{enrich_column}" }
    }
}

场景2：state_ls_keyvalue为布尔类型（值为false/true） #

if [state_ls_keyvalue] == false {
    mutate {
        replace => { "%{field_ls_keyvalue}" => "%{enrich_column}" }
    }
} else {
    mutate {
        remove_field => [ "%{field_ls_keyvalue}" ]
        replace => { "%{field_ls_keyvalue}" => "%{enrich_column}" }
    }
}

额外优化建议 #

• 验证动态字段存在性：添加前置判断，避免创建无效字段（比如field_ls_keyvalue不存在时，不会生成%{field_ls_keyvalue}这样的无效字段名）：

if [field_ls_keyvalue] {
    # 上述场景的代码放在这里
}

• 优先合并mutate动作：将多个操作放在同一个mutate块中，减少Logstash的处理开销。

内容的提问来源于stack exchange，提问作者Shokouh Dareshiri