如何在Logstash中使用位运算判断C# Flag枚举的位存在状态

C# 标记了[Flags]特性的枚举本质是支持位组合的整数类型，序列化传入Logstash后通常有两种存储形式，对应不同的判断方式：

场景1：枚举序列化为整数传入Logstash #

直接使用按位与运算符&做判断即可，Logstash 原生条件判断和ruby filter都支持位运算：

• 原生if条件判断示例：

filter {
  # 假设枚举字段名为 user_permission，对应C#枚举定义为：
  # [Flags]
  # enum Permission {
  #   None = 0,
  #   Read = 1 << 0, // 值为1
  #   Write = 1 << 1, // 值为2
  #   Delete = 1 << 2, // 值为4
  #   Admin = 1 << 3 // 值为8
  # }
  if [user_permission] & 2 != 0 {
    mutate {
      add_tag => ["has_write_permission"]
      # 此处添加你需要执行的自定义操作
    }
  }
}

• 复杂逻辑可使用ruby filter实现：

filter {
  ruby {
    code => '
      permission = event.get("user_permission").to_i
      # 预定义枚举对应位值
      READ = 1
      WRITE = 2
      DELETE = 4
      ADMIN = 8
      
      event.set("has_read", (permission & READ) != 0)
      event.set("has_write", (permission & WRITE) != 0)
      event.set("is_admin", (permission & ADMIN) != 0)
    '
  }
  # 后续可直接使用上面新增的字段做条件判断
  if [is_admin] {
    # 管理员专属处理逻辑
  }
}

场景2：枚举序列化为逗号分隔字符串传入Logstash #

如果序列化时配置了将Flags枚举转为逗号分隔的名称字符串（比如值为"Read, Write, Delete"），直接判断子串是否存在即可：

filter {
  # 简单判断，适合枚举名无包含关系的场景
  if "Write" in [user_permission_str] {
    mutate {
      add_tag => ["has_write_permission"]
    }
  }

  # 更稳妥的处理，避免空格、大小写、枚举名包含等问题
  mutate {
    split => { "user_permission_str" => ", " }
    uppercase => [ "user_permission_str" ]
  }
  if "WRITE" in [user_permission_str] {
    # 自定义操作
  }
}

注意事项 #

请先确认C#侧的Flags枚举定义符合规范，每个枚举项的值为2的整数次幂，不存在位重叠的情况。如果有自定义序列化逻辑，提前确认传入Logstash的枚举字段类型是整数还是字符串，再选择对应处理方案。

内容的提问来源于stack exchange，提问作者Phil Dunphy