自定义Grok Pattern匹配指定日志无结果，该如何调整匹配规则？

原日志参考 #

2021-10-06 03:57:29 Actual Memory:2.56 GB

匹配失败原因 #

• Grok默认要求模式与整行日志完全匹配，现有规则没有覆盖日志首尾的<p>、</p>HTML标签，多余的未匹配字符直接导致匹配失败。
• 若你需要单独提取内存数值，现有%{DATA:Memory}的规则只能抓取时间戳后的所有剩余内容，无法拆分出具体的内存数值和单位。

调整后的匹配规则 #

方案1：仅提取时间戳和内存相关整段内容 #

如果只需要拆分时间和内存相关的完整文本，使用以下规则即可：

^<p>%{TIMESTAMP_ISO8601:timestamp} %{DATA:memory_info}</p>$

方案2：精准提取内存数值与单位 #

如果需要单独拆分出内存的数值、单位，使用更细分的规则：

^<p>%{TIMESTAMP_ISO8601:timestamp} Actual Memory:%{NUMBER:actual_memory:float} %{WORD:memory_unit}</p>$

说明：规则开头的^和结尾的$是行首、行尾锚定符，可避免日志前后的多余空白字符干扰匹配。

内容的提问来源于stack exchange，提问作者Hanzala Fiaz