Logstash 过滤器：使用正则表达式比较时间

Question

我在 logstash 过滤器中使用此代码来比较时间但不起作用。

if [timecheck] =~ /.*((\[0\]\[0-6\]):\[0-5\]\[0-9\]:\[0-5\]\[0-9\])|((\[1\]\[2-9\]|2\[0-3\]):\[0-5\]\[0-9\]:\[0-5\]\[0-9\]).*/ {
  mutate {
    add_tag => "OVERTIME"
  }
}
else if [timecheck] =~ /.+/ {
  mutate {
    add_tag => "WORKING-HOURS"
  }
}
else {
  mutate { add_tag => "NO-TIMECHECK-MATCH" }
}

logstash 工作但正则表达式不匹配。始终输入 WORKING-HOURS 因为它不为空

（我在 regexr.com 上尝试正则表达式并且运行良好）

Answer 1

不要转义方括号。

  if [timecheck] =~ /(([0][0-6]):[0-5][0-9]:[0-5][0-9])|(([1][8-9]|2[0-3]):[0-5][0-9]:[0-5][0-9])/ {
    mutate {
      add_tag => "OVERTIME"
      add_field => { "time-work" => "OVERTIME" }
    }
  }
  else if [timecheck] =~ /.+/ {
    mutate {
      add_tag => "WORKING-HOURS"
      add_field => { "time-work" => "WORKING-HOURS" }
    }
  }
  else {
    mutate { add_tag => "NO-TIMECHECK-MATCH" }
  }

Logstash 过滤器：使用正则表达式比较时间

Logstash filter: compare time using regex

regex

logstash

logstash-grok

elastic-stack