Logstash 多行匹配指南：如何处理多行日志

Logstash 多行匹配指的是，当处理日志文件时，需要将多行日志合并成一条完整的事件进行处理。这在日志文件中存在多行日志时非常常见，例如 Java 异常堆栈、接口调用日志等。/n/nLogstash 提供了多种方式实现多行匹配，其中比较常用的方式有以下两种：/n/n1. multiline 插件/n/nmultiline 插件可以将多行日志合并成一条完整的事件。它可以通过正则表达式来确定何时合并多行日志，例如可以使用以下配置来将以数字开头的日志合并成一条事件：/n/n/ninput {/n file {/n path => /'/path/to/logfile.log/'/n start_position => /'beginning/'/n sincedb_path => /'/dev/null/'/n }/n}/n/nfilter {/n multiline {/n pattern => /'^/d/'/n negate => true/n what => /'previous/'/n }/n}/n/noutput {/n stdout {/n codec => rubydebug/n }/n}/n/n/n2. codec 插件/n/ncodec 插件可以将多行日志合并成一条完整的事件，类似于 multiline 插件。它可以通过正则表达式来确定何时合并多行日志。例如，可以使用以下配置来将以数字开头的日志合并成一条事件：/n/n/ninput {/n file {/n path => /'/path/to/logfile.log/'/n start_position => /'beginning/'/n sincedb_path => /'/dev/null/'/n codec => multiline {/n pattern => /'^/d/'/n negate => true/n what => /'previous/'/n }/n }/n}/n/noutput {/n stdout {/n codec => rubydebug/n }/n}/n/n/n无论使用哪种方式，Logstash 都能够非常方便地处理多行日志，使得日志处理更加精准高效。