Logstash中Timestamp转日期字段失败求助：用于Kibana可视化

我来帮你搞定这个问题——你遇到的核心问题应该是没给date过滤器指定正确的时间格式，导致它没法解析那个毫秒级的时间戳字符串。

你的timestamp字段值1510722000000是毫秒级Unix时间戳，而且是字符串类型，咱们直接用Logstash内置的格式就能精准解析，下面是具体的配置和说明：

正确的date过滤器配置 #

替换你原来的date过滤器配置，用这个试试：

filter {
  date {
    match => [ "timestamp", "UNIX_MS" ]  # 指定匹配原字段和对应的毫秒时间戳格式
    target => "@timestamp"               # 生成的目标字段，用@timestamp的话Kibana会自动识别为时间字段，直接适配可视化
    # 要是不想覆盖默认的@timestamp，也可以改成自定义字段名比如"parsed_date"，之后在Kibana里指定这个字段为时间字段就行
    remove_field => [ "timestamp" ]      # 可选：解析完成后删除原字符串字段，节省存储空间
  }
}

关键细节说明 #

• 格式匹配：UNIX_MS是Logstash专门针对毫秒级时间戳的内置格式，不管原字段是字符串还是数字类型都能处理，这应该是你之前遗漏的核心配置。
• 目标字段选择：用@timestamp的好处是Kibana在创建索引模式时会自动把它设为默认时间字段，不用额外配置就能直接做时间维度的可视化；如果用自定义字段，记得在Kibana的索引模式设置里手动把它选为"时间字段"。
• 字段校验：先确认原字段确实叫timestamp，没有拼写错误，而且这个字段在进入date过滤器之前是存在的（可以用mutate过滤器先做字段校验或重命名）。

验证配置是否生效 #

你可以临时加个stdout输出插件测试解析结果：

output {
  stdout {
    codec => rubydebug
  }
}

运行Logstash后，查看控制台输出，只要能看到目标字段（比如@timestamp）的值是类似2017-11-15T03:00:00.000Z的标准ISO日期格式，就说明解析成功了。

Kibana端收尾 #

如果用了自定义目标字段，进入Kibana的"索引模式"设置页面，找到对应索引的"时间字段"下拉框，选择你生成的日期字段并保存，之后就能用这个字段做时间折线图、时间筛选等可视化操作了。

内容的提问来源于stack exchange，提问作者KARAN SHAH