在 logstash 的使用中，我遇到最多的问题是通过 grok 对日志清洗的正则规则使用了，把案例记录一下，以便存档吧。 logstash 本身提供了一个 grok 预定义常用表达式的文件，包括%{USER}、%{IP}、%{NUMBER} 、%{DATA}等，可以通过这来了解一下基本的正则写法。路径如下： /usr/share/logstash/vendor/bundle/jruby/1.9/gems/logstash-patterns-core-4.0.2/patterns/grok-patterns 这是我们要处理的PHP的slow日志，经过filebeats多行合并之后，我们可以把每… 继续阅读 logstash grok使用案例：php-slow日志的匹配