正则表达式无法识别双引号，求助拆分指定ELB日志条目

我明白你现在卡在ELB日志拆分的双引号匹配问题上了——这种带URL编码特殊字符的日志确实容易让正则踩坑。咱们先从问题根源入手，一步步解决：

首先先拆解你提供的这条ELB日志的结构，经典ELB的访问日志字段顺序是：

• 时间戳
• ELB实例ID
• 协议
• 目标组时间戳
• 目标组ARN
• 客户端IP:端口
• 后端目标IP:端口
• 请求处理耗时
• 目标处理耗时
• 响应处理耗时
• ELB返回状态码
• 目标返回状态码
• 接收字节数
• 发送字节数
• 带双引号的请求详情（就是你卡壳的核心字段）

你的问题出在最后这个请求字段里包含了URL编码的双引号（%22），如果你的正则用了简单的"[^"]*"，要么会因为内部的编码双引号导致匹配提前终止，要么因为前面字段的匹配错位，导致整个日志拆分失败。

正确的正则表达式示例 #

针对你的日志格式，我整理了一个能正确处理URL编码双引号的正则：

^([\dT:.Z]+)\s+([\w-]+)\s+(\w+)\s+([\dT:.Z]+)\s+([\w/]+)\s+([\d.:]+)\s+([\d.:]+)\s+([\d.]+)\s+([\d.]+)\s+([\d.]+)\s+(\d+)\s+(\d+)\s+(\d+)\s+(\d+)\s+"([^"]|%22)*"

关键部分解释 #

最后匹配请求字段的"([^"]|%22)*"是解决问题的核心：

• "：匹配请求字段的起始双引号
• ([^"]|%22)*：匹配双引号内的所有内容，规则是要么不是双引号的任意字符，要么是URL编码的双引号%22，这样就不会因为内部的编码双引号而提前终止匹配
• "：匹配请求字段的结束双引号

测试验证（以Python为例） #

把你提供的日志片段代入这个正则，会正确捕获到完整的请求内容。这里给你一段可直接运行的代码示例：

import re

log_line = '2018-04-16T08:09:27.203Z cae70dd2-414c-11e8-836a-354cb4985a41 https 2018-04-15T01:20:31.092381Z app/MBM-L-Publi-V9D386A91UNR/4695f2e72859f540 128.121.50.133:59367 10.0.1.14:80 0.001 0.003 0.000 200 200 934 282 "GET https://www.domain.tld:443/__utm.gif?v=1&_v=j66&a=1866784098&t=pageview&_s=1&dl=https%3A%2F%2Fwww.domain.tld%2Fnews%2Farchived%2Fresources-archived%22001-11%2F&ul=en-us&de=UTF-8&dt=Racal%20reborn%20after%20Thal..."'

pattern = r'^([\dT:.Z]+)\s+([\w-]+)\s+(\w+)\s+([\dT:.Z]+)\s+([\w/]+)\s+([\d.:]+)\s+([\d.:]+)\s+([\d.]+)\s+([\d.]+)\s+([\d.]+)\s+(\d+)\s+(\d+)\s+(\d+)\s+(\d+)\s+"([^"]|%22)*"'
match = re.match(pattern, log_line)

if match:
    fields = match.groups()
    print("完整请求字段内容:", fields[-1])

这段代码会正确输出包含%22的完整请求字符串，不会因为编码的双引号中断匹配。

内容的提问来源于stack exchange，提问作者khinester