Question

我们让Logstash接收syslog文件，然后将它们存储在Elasticsearch索引中。

我们正在尝试使用Kibana查询此索引以查找某些特定信息，但我们无法使正则表达式查询起作用。

我们尝试在其中搜索的日志日期如下。

字段名称=消息
字段类型=关键字

＆lt; 14＆gt; 1 2018-05-02T13：53：48.079000Z snrvro04 vco - - [liagent @ 6876 anctoken =＆＃34;＆＃34;成分=＆＃34; WorkflowManagementServiceImpl＆＃34;上下文=＆＃34;＆＃34; 文件路径=＆＃34; /var/log/vco/app-server/integration-server.log" 实例id =＆＃34; 6a6dbf1d-2f72-45db-ab57-04b84aa97b90＆＃34; log_message =＆＃34;工作流程＆＃39;获取ID 工作流/ 8f59ca66-7472-4efa-ac5f-dfc34059c5f1＆＃39;更新（与含量）＆＃34。优先级=＆＃34; INFO＆＃34;产物=＆＃34; VRO＆＃34;令牌=＆＃34;＆＃34;用户=＆＃34;＆＃34; wfid =＆＃34;＆＃34; wfname =＆＃34;＆＃34; wfstack =＆＃34;＆＃34;] 2018-05-02 13：53：48.079 + 0000 vco： [成分=＆＃34; WorkflowManagementServiceImpl＆＃34;优先级=＆＃34; INFO＆＃34; 螺纹=＆＃34; HTTPS的JSSE-NIO-0.0.0.0-8281-EXEC-7＆＃34;用户=＆＃34;＆＃34;上下文=＆＃34;＆＃34; 令牌=＆＃34;＆＃34; wfid =＆＃34;＆＃34; wfname =＆＃34;＆＃34; anctoken =＆＃34;＆＃34; wfstack =＆＃34;＆＃34; instanceid =＆＃34; 6a6dbf1d-2f72-45db-ab57-04b84aa97b90＆＃34;]工作流程＆＃39;获取ID 工作流/ 8f59ca66-7472-4efa-ac5f-dfc34059c5f1＆＃39;更新（含内容）。

我们要搜索的信息是：

成分=＆＃34; WorkflowManagementServiceImpl＆＃34;

更重要的是：

工作流程＆＃39;获取工作流程ID / 8f59ca66-7472-4efa-ac5f-dfc34059c5f1＆＃39;

最高标准应始终相同，但工作流程名称和ID将更改。在这段文字中保持不变的唯一部分是工作流＆＃39; 和最终＆＃39;

我们目前正在针对工作流程名称和ID进行查询，以查看我们是否可以匹配，但我们的查询不会返回任何结果。

我们目前拥有的正则表达式如下，我们尝试了许多替代方案。

/(?<=Workflow '.*\/)(.*')/

如果我们运行搜索 *工作流程* （通配符，没有空格） - 它会按预期返回包含单词Workflow的所有内容。

如果我们运行搜索工作流程，则无法获得任何结果。

如果有人能指出我们出错的地方，或者感到困惑，那就太棒了！

由于

Answer 1

我们通过在Logstash中使用Grok过滤器在数据到达Elasticsearch索引之前组织/清理数据来解决这个问题，然后我们就能够在Kibana中成功搜索。

Kibana / Elastic正则表达式查询返回无结果

1 个答案: