如何在Logstash中将嵌套JSON的指定节点移至顶层？

我之前在处理日志结构调整时也踩过类似的坑，刚好能给你捋清楚正确的实现方式！

你的需求是把原结构 { a: { b: { c: 12 } }, z: 514 } 转换成 { z:514, b: { c:12 } }，核心是把嵌套在a下的b字段直接移到根级别，同时保留原有的z字段。你之前尝试的add_field会把字段序列化为字符串，而rename/copy没成功大概率是没写对嵌套字段的路径语法。

方法一：用Mutate插件（最简单直接） #

如果是用Logstash处理日志，它的mutate插件支持通过[层级][字段]的格式访问嵌套字段，用rename就能直接把嵌套字段移到根级：

filter {
  mutate {
    # 将嵌套的[a][b]重命名为根级别的b，保留原对象结构
    rename => { "[a][b]" => "b" }
    # 可选：如果不需要保留原有的a字段，直接移除它
    remove_field => ["[a]"]
  }
}

执行后，日志结构就会变成你想要的：{ z: 514, b: { c: 12 } }

为什么之前的方法没生效？ #

• add_field：直接用add_field => { "b" => "%{[a][b]}" }会把嵌套对象序列化成字符串（比如"b": "{c=>12}"），而不是保留原有的JSON对象结构，所以不符合需求。
• rename/copy：如果之前写的是rename => { "a.b" => "b" }这种点分隔的路径，Logstash识别不了，必须用[a][b]这种数组式的路径语法才能正确访问嵌套字段。

方法二：用Ruby插件（适合复杂场景） #

如果后续有更复杂的字段处理逻辑，比如动态字段判断，用ruby插件会更灵活：

filter {
  ruby {
    code => '
      # 提取[a][b]字段的值，设置到根级的b字段
      event.set("b", event.get("[a][b]"))
      # 移除原有的a字段
      event.remove("[a]")
    '
  }
}

这个效果和mutate完全一致，但能支持更多自定义逻辑。

内容的提问来源于stack exchange，提问作者Krrish Raj