在Logstash中使用Ruby Filter将数组型Epoch时间转日期格式

别担心，作为Ruby新手遇到语法问题很正常，我来帮你搞定这个需求！先直接上可以运行的配置代码，再拆解关键细节：

filter {
    ruby {
        code => "
            # 先校验原字段是否存在且为数组类型，避免报错
            if event.get('timestamp').is_a?(Array)
                # 初始化空数组存储转换后的日期
                formatted_dates = []
                # 遍历原数组中的每个毫秒级Epoch时间戳
                event.get('timestamp').each do |ms_epoch|
                    # 把毫秒转成秒级（Ruby的Time.at默认接收秒数），用浮点数保留毫秒精度
                    time_instance = Time.at(ms_epoch / 1000.0)
                    # 格式化为Kibana原生支持的ISO8601格式（带三位毫秒）
                    formatted_time = time_instance.utc.iso8601(3)
                    formatted_dates << formatted_time
                end
                # 将转换后的数组存入新字段，比如命名为formatted_timestamps
                event.set('formatted_timestamps', formatted_dates)
            else
                # 可选：给字段异常的事件打标签，方便后续排查
                event.tag('invalid_timestamp_array')
            end
        "
    }
}

关键细节拆解 #

• 毫秒转秒的核心处理：Ruby的Time.at()默认只认秒级Epoch时间，所以必须把毫秒数除以1000.0（用浮点数避免整数截断），否则会生成几十万年以后的错误日期。
• Kibana友好的格式：iso8601(3)会生成类似2024-05-20T15:45:30.123Z的字符串，和Kibana默认的@timestamp格式完全匹配，不需要额外配置日期解析。
• 安全的字段操作：用event.get()和event.set()来操作事件字段是Logstash Ruby Filter的标准写法，比直接修改event哈希更稳定，不容易出现隐蔽bug。
• 异常防护：先判断原字段是否为数组，避免因为字段缺失或类型错误导致整个pipeline崩溃，还能给异常事件打标签方便排查。

常见语法错误排查 #

如果你之前的配置报错，大概率是这几个原因：

• 直接用event['timestamp']而不是event.get('timestamp')（新版本Logstash推荐用get/set方法）
• 没做毫秒转秒的处理，直接把毫秒数传给Time.at()
• Ruby循环语法写错，比如少了do/end或者闭合括号
• 日期格式字符串写错，没有用Kibana能识别的标准格式

你可以把上面的配置替换到你的pipeline里测试，要是还有问题，把你之前的错误代码贴出来，我再帮你针对性排查~

内容的提问来源于stack exchange，提问作者KARAN SHAH