Logstash 中的 Grok 过滤器错误

Question

我的过滤器中有以下内容，出于某种原因它只打印电子邮件而不是 delivery_status。但是当我注释掉电子邮件时，它会打印 delivery_status.

有没有办法在不注释掉其中任何一个的情况下打印它们？

filter {   
    grok {
      patterns_dir => ["/etc/logstash/patterns/postfix"]
      match => { "message" => "%{EMAIL}" }
      match => { "message" => "%{DELIVERY_STATUS}" }
      overwrite => [ "message" ]
    }     

}

我们将不胜感激。

Answer 1

默认情况下，grok 过滤器在第一次成功匹配时结束。如果您想覆盖此行为，请添加此行：

break_on_match => false

如需进一步参考，请查看 grok 过滤器文档 here。