如何通过Graylog REST API查询时返回message id等扩展字段

你需要在查询体中新增fields参数显式声明所有需要返回的字段即可，你需要的消息永久链接ID对应Graylog内置字段为gl2_message_id（部分旧版本可替换为_id）。

修改后的代码如下：

header = {"X-Requested-By": "OS-AD", "Content-Type": "application/json", "Accept": "text/csv"}
query = {
    "query_string": {"type": "elasticsearch", "query_string": "*"},
    "streams": ["61406557e62e6244b6bbded5"],
    "timerange": {
        "type": "absolute",
        "from": start,
        "to": end
    },
    # 新增字段配置，按需求加入所有要返回的列名即可
    "fields": ["timestamp", "source", "message", "level", "facility_num", "facility", "gl2_message_id"]
}

补充说明：

• 若返回的gl2_message_id为空，将字段名替换为_id重试即可，适配不同Graylog版本的内置字段命名规则
• 所有Graylog界面可见的日志字段，都可以直接加入fields数组中按需返回

内容的提问来源于stack exchange，提问作者user9881741