如何编写统一RegEx实现带与不带URL的syslog日志字段解析

你之前匹配失败的核心原因是+量词默认贪婪匹配，会优先吃掉尽可能多的字符，导致可选的https?://部分被前面的.+匹配走了，因此就算加了可选标记也无法识别到URL段。不需要使用复杂的正则条件语法，用可选非捕获组即可实现需求，最终合并后的正则如下：

^(?P<datetime>.+) host1 postfix.+RCPT from (?P<srcDns>.+)\[(?P<srcIp>[0-9\.]+)\]:.+blocked using (?P<blkList>[^;]+);(?:\s+https?:\/\/(?P<entryUrl>[^;]+);)?\s+from=<[^>]+>\s+to=<(?P<destEm>[^>]+)>.+$

规则说明 #

• 用边界匹配[^;]+替代了原有的模糊匹配.+，匹配到分号分隔符就自动停止，避免贪婪吞噬后续内容
• URL段整体用非捕获组(?: )?标记为可选：存在URL时会自动将URL内容捕获到entryUrl命名组，不存在时该组自动返回空值，不影响其他字段提取
• 不需要依赖正则条件语法，兼容性更高，适配绝大多数支持命名捕获组的正则引擎

验证效果 #

• 带URL的日志：所有字段正常捕获，entryUrl返回匹配到的URL内容
• 不带URL的日志：除entryUrl返回空值外，其余所有字段正常捕获

内容的提问来源于stack exchange，提问作者tleding