Fluentd基于logger_name字段过滤日志配置不生效如何排查

按排查优先级从高到低排列：

• Filter标签匹配规则未命中
  当前配置的匹配规则为containers.**，只有日志事件的tag符合该通配规则时，过滤块才会执行。多数容器日志采集场景下，Fluentd给日志打的tag可能为kubernetes.*、kube.*或自定义前缀，和现有规则不匹配时，整个过滤逻辑不会触发。可临时在配置最前端加stdout输出块，打印所有接收事件的实际tag，确认是否命中匹配规则。
• logger_name字段不在事件根层级
  绝大多数容器日志采集链路会将解析后的结构化字段放在嵌套结构中，比如实际字段路径为record.logger_name、log.logger_name，而非事件根层级的logger_name。直接配置key logger_name无法读取到对应值，自然匹配失败。如果是嵌套字段，需要使用JSONPath写法指定完整路径，例如key $.record.logger_name（该写法要求Fluentd v1及以上版本）。
• 正则写法与grep插件版本不兼容
  不同版本的fluent-plugin-grep语法存在明显差异：
  0.12等旧版本grep插件不支持/正则内容/的斜杠包裹写法，现有配置里的pattern /org.apache.kafka.streams/会被识别为完整字符串做精确匹配，前后斜杠会被计入匹配内容，永远无法匹配到正常的类路径值。这种场景下直接去掉前后斜杠，将正则中的点做转义即可：pattern org\.apache\.kafka\.streams。
  部分版本默认匹配逻辑为字符串完全匹配而非正则部分匹配，需要显式指定匹配类型为正则。
• Filter块执行顺序错误
  Fluentd配置按书写顺序从上到下执行，如果grep过滤块放在了字段重命名、字段裁剪、日志格式转换类插件的后面，执行到grep逻辑时，logger_name字段可能已经被删除、重命名或修改值，自然无法命中过滤规则。
• 字段值存在不可见冗余字符
  检查Logback输出配置是否存在多余分隔符、空格，导致logger_name实际值前带有空格、制表符等不可见字符，例如实际值为 org.apache.kafka.streams.KafkaStreams（开头多一个空格），正则未做前缀宽松匹配时会出现漏匹配。

快速排查手段 #

临时在现有grep过滤块前增加如下配置，将经过该节点的所有日志事件打印到Fluentd运行日志中，可直接确认事件的实际tag、字段结构、字段值，快速定位问题：

<filter **>
  @type stdout
</filter>

内容的提问来源于stack exchange，提问作者omer。