在logstash中以数组作为JSON过滤字段

Question

我开始用logstash收集日志。当前的设置包括一个使用logback作为日志机制和logstash-logback-encoder的Java服务器，将数据输出到一个整洁的JSON表示形式中。基本原理很好。

我希望将JSON格式的附加数据分离到不同的字段中(因此JSON的每个键都在自己的字段中结束)。logstash-logback-encoder为在json_mesage字段中输出此类数据提供了一种机制。但是，这个JSON字符串被放置到一个JSON数组中。请参阅这里的示例格式，以便更好地阅读。

{
"@timestamp":"2014-03-25T19:34:11.586+01:00",
"@version":1,
"message":"Message{\"activeSessions\":0}",
"logger_name":"metric.SessionMetrics",
"thread_name":"scheduler-2",
"level":"INFO",
"level_value":20000,
"HOSTNAME":"stage-01",
"json_message":["{\"activeSessions\":0}"],
"tags":[]
}

我尝试使用一个简单的JSON过滤器来解析传入的JSON。在这里查看我的配置：

input {
  lumberjack {
    <snipped>
    codec => "json"
  }
}
filter {
  json {
    source => "json_message"
  }
 }
 output {
   elasticsearch {
     <snipped>
   }
 }

但是，这会导致logstash日志中出现以下错误。数组中的JSON字符串根本无法处理。

{:timestamp=>"2014-03-25T19:43:13.232000+0100", 
 :message=>"Trouble parsing json", 
 :source=>"json_message", 
 :raw=>["{\"activeSessions\":0}"], 
 :exception=>#<TypeError: can't convert Array into String>, 
 :level=>:warn}

是否有方法在解析之前从数组中提取JSON字符串？任何帮助都是非常感谢的。谢谢。

Answer 1

实际上，它非常简单，并且遵循普通编程语言的思路。不过，我在文件里没有找到答案。

只需将索引添加到筛选器中的字段：

filter {
  json {
    source => "json_message[0]"
  }
}