求助：Logstash如何解析TCP传输的空字节分隔GELF日志

我之前也碰到过一模一样的情况——Docker的GELF驱动用空字节（\0）分隔日志，但Logstash的json_lines编解码器确实不支持把\0作为分隔符（它的转义支持只限于\n、\r这类常见符号）。这里有两个可行的方案，优先推荐第一个，因为更高效简洁：

方案1：使用TCP输入的null帧处理器（推荐） #

Logstash的TCP输入内置了framer参数，其中null选项专门用来处理空字节分隔的数据流。这个方案不需要额外的Filter处理，直接在输入阶段就把每个\0分隔的GELF JSON块拆成单独的事件，再用json编解码器直接解析：

input {
  tcp {
    port => 7777
    framer => "null"  # 以空字节\0作为帧分隔符，完美匹配Docker GELF的输出格式
    codec => json     # 直接解析每个帧里的GELF JSON
  }
}

output {
  stdout { codec => rubydebug }  # 用rubydebug格式化输出，方便调试查看结构
}

为什么这个方案有效？ #

Docker GELF驱动输出的每个日志条目都是完整的JSON对象，并且严格用\0分隔。framer => "null"会在TCP流层面就把每个\0分隔的块提取为独立的事件，之后json编解码器可以直接解析这个完整的JSON字符串，完全绕开了json_lines的限制。

方案2：Raw编解码器+Filter分割（备选） #

如果因为版本或环境限制无法使用framer参数，可以先用raw编解码器接收完整的TCP流，再在Filter阶段手动按\0分割并解析：

input {
  tcp {
    port => 7777
    codec => raw  # 接收原始的字节流，不做任何预处理
  }
}

filter {
  # 按空字节分割原始数据为多个事件
  split {
    field => "message"
    terminator => "\0"
  }

  # 过滤掉分割后可能产生的空事件（比如数据流末尾的空字节）
  if [message] == "" {
    drop {}
  }

  # 解析分割后的GELF JSON字符串
  json {
    source => "message"
  }
}

output {
  stdout { codec => rubydebug }
}

额外提示 #

测试时记得确保Docker容器能访问到Logstash的7777端口，比如配置Docker日志驱动时用--log-opt gelf-address=tcp://你的主机IP:7777；优先用方案1，因为它在输入阶段完成帧分割，性能比Filter阶段处理更好，配置也更简洁。

内容的提问来源于stack exchange，提问作者herm