Monit配置Apache日志正则内容匹配告警的相关问题咨询

现有配置的问题与修正 #

你当前的正则没有语法错误，但存在冗余和漏匹配风险，无法完全满足精准匹配需求：

• Monit 对日志行的content正则匹配默认是子串匹配模式，只要正则能匹配到行内任意片段就算命中，不需要手动在正则首尾加.*，这部分是完全冗余的。
• 你当前正则写死了HTTP/1.1版本，如果后续服务支持HTTP/2、HTTP/1.0请求，会出现漏匹配。

如果需求是匹配所有请求/urlpath/的POST请求且返回200状态码的日志行，可以直接用如下精简配置，匹配效果和grep抓取固定串的逻辑完全一致：

check file vhost with path /var/log/apache2/other_vhosts_access.log
       if content = '"POST /urlpath/ HTTP/[0-9.]+" 200' then alert

如果就是要严格匹配HTTP/1.1的固定串，直接去掉首尾的.*即可，写法为content = '"POST /urlpath/ HTTP/1.1" 200'。

多关键词匹配的实现方式 #

Monit 5.x及以上版本的content规则使用POSIX扩展正则（ERE），不支持PCRE正则的零宽正向预查语法，你写的(?=.*xxx)这类grep -P支持的PCRE语法无法在Monit中正常运行。

要实现同一日志行同时匹配多个关键词（即多条件与逻辑），最稳妥、可读性最高的写法是直接用Monit原生的and关键词拼接多个匹配规则，不需要写复杂正则，效果和grep做多关键词与匹配完全一致：

check file vhost with path /var/log/apache2/other_vhosts_access.log
       # 示例：同一行同时包含urlpath、200、302三个关键词才触发告警
       if content = 'urlpath' and content = '200' and content = '302' then alert

注：Apache单条请求日志只会记录一个状态码，上述示例中同时匹配200和302仅作语法演示，实际使用请按业务需求调整关键词

不推荐把多关键词写在单个正则里——POSIX ERE不支持正向预查的情况下，要匹配任意顺序的多关键词需要穷举所有关键词排列组合写成分支正则，关键词稍多就会非常冗长难维护。

额外注意事项 #

• Monit的文件content检测默认是增量扫描，每次检测仅读取上次检测后新写入的日志内容，不会重复扫描历史日志，测试规则时可以手动往日志文件追加测试行触发，不要以历史日志是否匹配作为规则生效的判断依据。
• 写正则时如果用单引号包裹匹配串，串内的双引号不需要额外转义，注意引号配对即可。
• 可以搭配ignore content规则排除不需要告警的内容，比如排除特定测试IP的请求：ignore content = '192.168.1.100'。

内容的提问来源于stack exchange，提问作者user3327338