filebeat收集java堆栈信息

### 配置 Filebeat 收集 Java 应用程序的堆栈跟踪信息

为了有效地收集并处理来自Java应用程序的日志文件中的堆栈跟踪信息，可以按照以下方式配置Filebeat。

#### 修改 `filebeat.yml` 文件

确保在 `/etc/filebeat/` 路径下编辑 `filebeat.yml` 文件。以下是针对Java日志特别优化过的输入部分设置：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /path/to/java/logs/*.log  # 替换为实际路径
  tags: ["java-application"]
  fields_under_root: true
  fields:
    project: microservice
    app: product
  multiline.pattern: '^\['           # 假设每条记录以 [ 开头作为单行起始标志
  multiline.negate: true             # 反转模式匹配逻辑
  multiline.match: after            # 当找到不匹配pattern的一行时触发事件发送

上述配置指定了一个多行模式来捕获完整的异常堆栈跟踪[^1]。这里假设正常的日志消息是以 `[` 字符开始；而当遇到不是以此字符开头的新行，则认为该行为上一条日志的一部分，并将其附加到之前的行中形成一个完整的多行日志项[^2]。

对于更复杂的场景，如果Java日志的第一行并不总是以特定符号（如方括号）开头，而是像下面这样典型的Java异常格式：

Exception in thread "main" java.lang.NullPointerException ...
at com.example.myproject.Book.getTitle(Book.java:16)
...

那么应该调整 `multiline.pattern` 来适应这种结构，例如通过正则表达式识别出错误类名或方法签名前缀等特征字符串。

最后指定Logstash服务器地址用于进一步的数据处理和转发：

output.logstash:
  hosts: ["<LOGSTASH_HOST>:5044"]  # 将 <LOGSTASH_HOST> 替换成目标主机IP

这会使得所有采集到的日志数据被发送给指定的Logstash实例进行后续解析、过滤和其他操作。