关于logstash转发日志时发生的部分内容丢失问题

Question

问题遇到的现象和发生背景

求解答,关于logstash转发日志时发生的部分内容丢失问题
原始日志是这样 {"eventCount":1,"eventId":123456,"parsedInfos":{"deviceProtocol":"syslog","hostName":"ABC","rawEvent":"<30>May 8 16:18:01 ABC systemd[1]: MSG","collectorReceiptTime":"2024-05-08 16:12:06"}

logstash配置是这样

但是logstash转发时，MSG这个之前的内容都没放到message里

当我去掉"rawEvent":"<30>May 8 16:18:01 ABC systemd[1]: MSG"这个键值对中ABC与systemd之间的空格时 ，输出结果就变了

操作环境、软件版本等信息

目前是centos7 logstash-7.6.0

我想要达到的结果

在原始日志无法修改的大前提下，我应该怎么去修改配置文件，使得所有日志都匹配到呢？这边需要输出的message 内容是{"eventCount":1,"eventId":123456,"parsedInfos":{"deviceProtocol":"syslog","hostName":"ABC","rawEvent":"<30>May 8 16:18:01 ABC systemd[1]: MSG","collectorReceiptTime":"2024-05-08 16:12:06"} 这样一个完整的json日志

Answer 1

引自免费微信小程序：皆我百晓生。

请检查Logstash配置文件，确保解析器正确无误，并确认日志格式与配置匹配。如果问题依然存在，可能需要调试日志以找到具体原因。