Vector 0.22.2配置Journald PRIORITY过滤不生效如何解决

过滤规则不生效由以下原因导致：

• 字段路径引用错误：Vector 0.22.2版本的journald采集源默认不会把journald自带字段（含PRIORITY）平铺到事件根层级，所有这类字段默认存放在.journald嵌套对象下，你配置里写的.PRIORITY是不存在的空字段。
• filter组件默认容错逻辑：该版本的filter转换组件，当condition表达式引用不存在的字段、返回空/undefined等非布尔值时，不会打印任何错误日志，默认直接放行对应事件，因此你看不到报错提示，所有日志都会被正常转发。
• 额外必查项：检查对接Loki的sink配置块，确认sink.inputs配置的是host_journald_filter，如果sink直接对接host_journald_source，过滤规则完全不会参与日志处理流程。

二选一即可：

方案1：修正字段引用路径 #

直接修改filter组件的判断条件，指向正确的嵌套字段路径：

[sources.host_journald_source]
type = "journald"
current_boot_only = true

[transforms.host_journald_filter]
type = "filter"
inputs = ["host_journald_source"]
condition = '''
  includes(["0", "1", "2", "3", "4"], .journald.PRIORITY)
'''

# 注意Loki sink必须对接filter组件，示例配置：
# [sinks.loki_output]
# type = "loki"
# inputs = ["host_journald_filter"]
# endpoint = "http://你的Loki服务地址"

方案2：配置journald源平铺字段 #

如果希望直接在根路径引用journald字段，可以给journald源添加namespace = ""配置，取消独立命名空间，原有的.PRIORITY写法即可正常生效：

[sources.host_journald_source]
type = "journald"
current_boot_only = true
namespace = "" # 将所有journald字段平铺到事件根层级

[transforms.host_journald_filter]
type = "filter"
inputs = ["host_journald_source"]
condition = '''
  includes(["0", "1", "2", "3", "4"], .PRIORITY)
'''

修改配置后重启Vector，可以临时添加一个控制台输出sink，确认过滤逻辑生效：

[sinks.debug_output]
type = "console"
inputs = ["host_journald_filter"]
encoding.codec = "json"

观察控制台输出的日志，确认所有保留日志的PRIORITY值都在0-4范围内，PRIORITY为5、6、7的日志不再出现，就可以删掉调试用的console sink，正式对接Loki。

内容的提问来源于stack exchange，提问作者markhorrocks