Question

我正在测试grok debugger，但我无法解决问题。

示例文字：

2014-06-17 04:37:30,317 c.e.A.MyActivity INFO main MyActivity.java 53 com.example.ApLogback.MyActivity$1 onClick logger track

我应该如何构造一个grok正则表达式/模式字符串，以便它像以下部分一样拆分前一个示例文本：

{
    timestamp:2014-06-17 04:37:30,317
    logger:c.e.A.MyActivity
    level:info
    caller_thread:main
    caller_method:MyActivity.java
    caller_line:53
    caller_class:com.example.ApLogback.MyActivity$1
    caller_method: onClick
    msg: caller track
}

我的当前正则表达式是：

 (?<timestamp>[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}:[0-9]{2},[0-9]{3}) (?<logger>.*)

但它只分割部分日志字符串的开头。我当前的grok字符串的示例结果是：

    {
      "timestamp": [
        [
          "2014-06-17 04:37:30,317"
        ]
      ],
      "logger": [
        [
          "c.e.A.MyActivity INFO main MyActivity.java 53 com.example.ApLogback.MyActivity$1 onClick logger"
        ]
      ]
    }

Answer 1

Grok附带了许多已定义的模式，可以满足您的大多数需求，请查看：Grok Debugger/patterns

至于你问题的具体答案，这是一个快速的例子，可以满足你的需要。这只是一个如何使用已定义的grok模式来构建自己的模式的示例。

(?<timestamp>[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}:[0-9]{2},[0-9]{3}) (?:%{JAVACLASS:logger}) (?:%{LOGLEVEL:level}) (?:%{WORD:caller_thread}) (?:%{JAVACLASS:caller_file}) (?:%{NONNEGINT:caller_line}) (?:%{JAVACLASS:caller_class}) (?:%{WORD:caller_method}) (?:%{GREEDYDATA:msg})

grok调试器正则表达式用法

1 个答案: