Logstash grok 拆分 cookie 字符串中的值

Question

想在不同字段中用grok拆分如下cookie信息

案例 1

id=279ddd995;+user=Demo;+country=GB

输出

{ "id": "279ddd995", "user": "Demo", "country": "GB", }

Answer 1

尝试遵循 grok 模式

filter {
    grok {
         match => ["message", "id=(?<id>[^;]+);.*?user=(?<user>[^;]+);.*?country=(?<country>[^;]+).*?"]
    }
}

Answer 2

您的数据以 key/value 对的形式方便地提供。您可以使用 kv{} 过滤器将它们分开，而不是为每个字段制作一个正则表达式。这具有以任何顺序一般处理任何键的附带好处。

Logstash grok split values in cookie string