logstash multiline

 filter {
    multiline {
   pattern => "^\s+%{TIMESTAMP_ISO8601}"
  negate=>true
  what=>"previous"
 }  
 
这个插件很简单,就是把当前行的数据添加到前面一行后面,直到新进的当前行匹配^\[正则为止
 
这个过滤器 已经过时了 在 multiline-codec的支持,Multiline filter 不是线程安全的,
 
这个过滤器会崩溃 多行消息从一个单独的source 到一个logstash event
 
这个过滤器的目的是允许连接多行消息从文件到一个单独的事件。
 
比如  连接java exception 和 stacktrace 消息到一个单独的事件
 
配置文件如下:
 
filter {
  multiline {
    type => "type"
    pattern => "pattern, a regexp"
    negate => boolean
    what => "previous" or "next"
  }
}
 
模式应该是一个正则表达式 匹配 你相信作为一个指标  多行日志的数据组成
 
what  必须是previous 或者next 来表明关联到多行事件
 
例子, Java stack traces 是多行和通常有消息 从左边开始,随后的行缩进 
 
filter {
  multiline {
    type => "somefiletype"
    pattern => "^\s"
    what => "previous"
  }
}
 
这个说明 任何行以空格开始属于之前的行