mutate 是什么

mutate 是 Logstash 最常用的字段处理过滤器，做字段级微调：rename 改名、remove_field 删除、add_field 增加、convert 转换类型、gsub 正则替换、strip 去空白、lowercase 统一大小写。同一个 mutate 块内按书写顺序执行，顺序本身就是逻辑的一部分。它主要解决日志字段名不统一、类型不对、含动态内容这三类妨碍下游聚合与检索的问题。

基本信息

典型使用场景

• 字段统一：把不同来源的 host 与 hostname 归并成一个名字，避免聚合维度分裂
• 类型修正：把字符串状态码转成整数，才能在可视化里做数值比较与区间判断
• 脱敏与瘦身：删除无人使用的字段，直接降低索引体积与存储成本
• 路径归一：把带 ID 的 URL 替换成模板，避免聚合维度爆炸
• 迁移过渡：在字段规范切换期用 rename 做兼容映射

使用要点

• 先在样本日志上验证 gsub 正则，确认不会误伤正常内容
• convert 之前确认取值可转换，脏数据要先清洗再转
• 同一块内按依赖顺序排列操作，先删字段再改名容易得到空值
• 规则变多时拆成多个 mutate 块并加注释，排查时更容易定位
• 测试阶段用 stdout 输出插件打印处理结果，直接核对字段

常用操作

filter {
  mutate {
    rename => { "host" => "hostname" }
    add_field => { "env" => "prod" }
    convert => { "status" => "integer" }
    gsub => [ "path", "/[0-9]+", "/{id}" ]
    remove_field => ["agent", "ecs"]
    strip => ["message"]
  }
}

操作与注意