如何在含JSON的日志字段中应用if条件进行处理

我来帮你一步步实现这个需求，咱们从完善Grok匹配、解析JSON到添加条件判断逐个环节来：

1. 完善Grok匹配规则 #

你原来的Grok配置只覆盖了部分日志内容，需要把末尾的文件位置也纳入匹配范围，完整的Grok表达式要贴合你的日志结构：

filter {
  grok {
    match => { 
      "message" => "\[(?<timestamp>%{TIMESTAMP_ISO8601})\] %{LOGLEVEL:loglevel} %{GREEDYDATA:json_payload} %{DATA:file_location}"
    }
    # 可选：匹配失败时打标签，方便后续排查问题
    tag_on_failure => ["_grokparsefailure"]
  }
}

这里把提取的JSON内容命名为json_payload（比单纯的json更清晰），同时捕获了最后的文件位置字段file_location。

2. 解析JSON字段 #

接下来要用Logstash的json过滤器，把json_payload里的结构化内容解析成单独的可访问字段：

json {
  source => "json_payload"
  target => "log_details" # 将解析后的字段统一放到log_details下，避免和其他字段冲突
  remove_field => ["json_payload"] # 解析完成后可以移除原始的JSON字符串字段，精简日志
}

解析完成后，你就能通过[log_details][code]直接访问JSON里的code值了。

3. 添加条件判断与自定义字段 #

最后一步就是根据code值添加status字段，用Logstash的条件语句实现：

if [log_details][code] == 200 {
  mutate {
    add_field => { "status" => "success" }
  }
}

如果需要处理其他code值的场景，还可以扩展这个逻辑，比如添加else if或者else分支。

完整的Filter配置 #

把上面三个部分整合起来，完整的filter段如下：

filter {
  grok {
    match => { 
      "message" => "\[(?<timestamp>%{TIMESTAMP_ISO8601})\] %{LOGLEVEL:loglevel} %{GREEDYDATA:json_payload} %{DATA:file_location}"
    }
    tag_on_failure => ["_grokparsefailure"]
  }

  json {
    source => "json_payload"
    target => "log_details"
    remove_field => ["json_payload"]
  }

  if [log_details][code] == 200 {
    mutate {
      add_field => { "status" => "success" }
    }
  }
}

额外提示 #

• GREEDYDATA会匹配到下一个分隔符（这里是文件位置前的空格），即使JSON部分有格式变动也能稳定匹配
• 可以临时添加stdout { codec => rubydebug }到output段，测试字段是否正确解析和添加

内容的提问来源于stack exchange，提问作者prashant pandey