logstash ruby 分割原始事件为多个事件

在 Logstash 中，你可以使用 Ruby 进行事件处理。如果你想将原始事件分割为多个事件，可以使用 Ruby 的 `split` 方法。

假设你的原始事件长这样：

{"message": "foo,bar,baz"}

你想将其分割成三个事件，每个事件包含一个逗号分隔的字符串。你可以使用一个 Ruby 过滤器来完成这个任务：

filter {
  ruby {
    code => "
      message = event.get('message')
      parts = message.split(',')
      parts.each do |part|
        new_event = LogStash::Event.new('message' => part)
        event_pipeline.push(new_event)
      end
      event.cancel
    "
  }
}

这个过滤器会将原始事件分割成三个新事件，每个事件的 `message` 字段分别为 `foo`、`bar` 和 `baz`。注意，我们使用了 `event_pipeline.push` 方法将新事件推送到 Logstash 的事件处理管道中，并使用 `event.cancel` 方法取消原始事件的处理。这是因为我们不想 Logstash 处理原始事件，而只想处理新生成的事件。