logstash多行匹配

Logstash多行匹配指的是，当处理日志文件时，需要将多行日志合并成一条完整的事件进行处理。这在日志文件中存在多行日志时非常常见，例如Java异常堆栈、接口调用日志等。

Logstash提供了多种方式实现多行匹配，其中比较常用的方式有以下两种：

multiline插件

multiline插件可以将多行日志合并成一条完整的事件。它可以通过正则表达式来确定何时合并多行日志，例如可以使用以下配置来将以数字开头的日志合并成一条事件：

input {
  file {
    path => "/path/to/logfile.log"
    start_position => "beginning"
    sincedb_path => "/dev/null"
  }
}

filter {
  multiline {
    pattern => "^\d"
    negate => true
    what => "previous"
  }
}

output {
  stdout {
    codec => rubydebug
  }
}

codec插件

codec插件可以将多行日志合并成一条完整的事件，类似于multiline插件。它可以通过正则表达式来确定何时合并多行日志。例如，可以使用以下配置来将以数字开头的日志合并成一条事件：

input {
  file {
    path => "/path/to/logfile.log"
    start_position => "beginning"
    sincedb_path => "/dev/null"
    codec => multiline {
      pattern => "^\d"
      negate => true
      what => "previous"
    }
  }
}

output {
  stdout {
    codec => rubydebug
  }
}

无论使用哪种方式，Logstash都能够非常方便地处理多行日志，使得日志处理更加精准高效。