Я получаю свой журнал без анализа:
source s_network {
network( transport(tcp) port(601) flags(no-parse));
};
Мой сохраненный журнал состоит из двух частей:
Feb 18 00:01:58 82.172.112.1 <40> 2020-02-17T20:29:49Z logserver-2 : {"method":"GET","scheme":"https","domain":"test.com","uri":"/App_Themes/font.woff","referer":"https://test.com/","ip":"31.135.115.92","ua":"Mozilla/5.0 (iPhone; CPU iPhone OS 13_3_1 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/13.0.5 Mobile/15E148 Safari/604.1","content_type":"text/html","status":404,"server_port":443,"bytes_sent":1222,"bytes_received":1245,"upstream_time":0.016}
Мои вопросы:
Как отделить json-часть (удалить первую часть текста)?
Как я могу создать базу имен файлов на основе данных json? Например я хочу сэкономить get method в отдельном файле.
Чтобы отделить JSON от другой информации, это может быть очень просто:
destination d_file {
file("/var/log/${YEAR}.${MONTH}.${DAY}/json"
template("${MESSAGE}\n")
template-escape(no));
};
Для доступа к значениям в JSON используйте соответствующий парсер:
parser parser_name {
json-parser(
marker()
prefix()
);
};
И соедините части, чтобы получить желаемый результат:
source s_network {
network( transport(tcp) port(601) );
};
destination d_date_method {
file("/var/log/${YEAR}.${MONTH}.${DAY}/${method}.json"
template("${MESSAGE}\n")
template-escape(no));
};
parser p_json {
json-parser();
};
log {
source(s_network);
parser(p_json);
destination(d_date_method);
};
Обязательно отключите флаг no-parse в источнике: