如何使用grok替代if/else条件实现日志错误类型匹配与分级？

你当前的grok配置无法生效主要有两个核心原因：

• 缺少字段生成逻辑：仅配置了匹配规则，没有添加add_field参数，就算模式匹配成功也不会自动生成你需要的Severity字段。
• 模式冗余可能导致匹配失败：开头的^%{DATA}和后缀的%{DATA}属于非必要通配符，如果你的errormessage字段已经做过前置拆分仅保留错误文本，反而可能因为前缀规则导致匹配失败。

你可以通过多grok串行匹配的方案实现需求，完全不需要额外的if/else判断，匹配失败也不会产生多余标签：

# 匹配高严重级别错误
grok {
  tag_on_failure => []
  match => {"errormessage" => "Failed to fetch database name" }
  add_field => { "Severity" => "high" }
}

# 匹配低严重级别错误
grok {
  tag_on_failure => []
  match => {"errormessage" => "Unable to connect with database" }
  add_field => { "Severity" => "low" }
}

如果后续需要维护大量错误类型，更推荐使用translate过滤器实现，性能比多grok串行匹配更高，维护也更方便：

# 提取错误内容（如果已经拆分过错误字段可省略这一步）
grok {
  tag_on_failure => []
  match => {"errormessage" => "^%{DATA:raw_error}" }
}

# 映射错误严重级别
translate {
  source => "raw_error"
  target => "Severity"
  dictionary => {
    "Failed to fetch database name" => "high"
    "Unable to connect with database" => "low"
    # 后续新增错误类型直接在这里加键值对即可
  }
  remove_field => "raw_error"
}

内容的提问来源于stack exchange，提问作者Clies