使用Logstash按请求路径创建Elasticsearch索引时遇字段引用错误

这个错误的核心问题在于你在mutate的split操作里错误使用了字段引用语法（%{}），同时字段名的格式也不符合Logstash的规范。下面是具体的修复方案和原因解释：

正确的Filter配置 #

把你的filter段修改为以下内容：

filter {
  mutate {
    # 关键：split的第一个参数直接写字段名，无需%{}包裹，嵌套字段用[父字段][子字段]格式
    split => { "[headers][request_path]" => "/" }
    add_field => { "index_id" => "%{[headers][request_path][0]}" }
    add_field => { "document_id" => "%{[headers][request_path][1]}" }
  }
}

错误原因拆解 #

1. Split参数格式错误：
   你原本的写法split => ["%{headers.request_path}", "/"]是错误的——split的第一个参数需要直接指定字段名（嵌套字段用[][]层级格式），%{}语法是用来引用字段值的，不是用来指定字段本身的。

2. 嵌套字段引用不规范：
   Logstash中嵌套字段的标准引用方式是[headers][request_path]，而非headers.request_path。点格式在部分场景下会存在语法歧义，尤其是字段名包含特殊字符时，方括号格式的兼容性更强。

额外优化点 #

你的curl命令里URL包含多余空格：

.\curl.exe -XPUT ' http://127.0.0.1:31311/twitter '

需要去掉单引号内的空格，修正为：

.\curl.exe -XPUT 'http://127.0.0.1:31311/twitter'

否则headers.request_path的值会是 /twitter（开头带空格），split后第一个元素为空字符串，会导致index_id为空，进而引发Elasticsearch输出环节的错误。

验证步骤 #

修改配置后重启Logstash，执行修正后的curl命令，你会在stdout的rubydebug输出中看到index_id为twitter，同时Elasticsearch会成功创建名为twitter的索引。

内容的提问来源于stack exchange，提问作者M.Y. Babt