日志平台52 条

Processors：轻量字段处理

处理器在发送前处理事件：加字段、丢弃噪声、解析 JSON、丰富主机元数据；比让 Logstash 兜底更省一跳。

可观测性速查云更新于 2026-10-12

常用处理器组合

processors:
  - add_host_metadata: ~
  - add_fields:
      target: ""
      fields: { env: prod, cluster: dc1 }
  - drop_event.when.contains:
      message: "GET /healthz"
  - decode_json_fields:
      fields: ["message"]
      target: ""
      overwrite_keys: true

drop_event 先丢噪声再解析能省 CPU；处理器按列表顺序执行，写在上面的先跑。

易错点

decode_json_fields 遇到非 JSON 行会产生 error 字段，先判断再解析或接受脏数据标记
overwrite_keys 打开时字段覆盖原值，与预期不符先检查命名冲突

数据来源与参考

Elastic 官方文档 · Filebeat processors

继续搜索

常用关键词：3389 traceroute iptables 子网掩码 docker

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌