filebeat正则表达式

filebeat中的正则表达式可以用于对日志文件进行过滤和解析。filebeat支持多种正则表达式语法，例如PCRE、Golang和Oniguruma等。在filebeat中，常见的正则表达式应用包括：

1. 在输入文件路径中使用正则表达式，以匹配多个文件；
2. 在filebeat配置文件中使用正则表达式，以从日志中提取特定字段；
3. 在filebeat处理器中使用正则表达式，以将字段重命名或删除。

下面是一个使用正则表达式从Nginx日志中提取字段的示例：

# filebeat.yml
filebeat.inputs:
- type: log
  paths:
    - /var/log/nginx/access.log
  processors:
    - dissect:
        tokenizer: "%{[@metadata][nginx][access]}"
        field: "message"
        target_prefix: "nginx.access"
    - grok:
        match:
          message: '%{IPORHOST:[nginx][access][remote_ip]} - %{DATA:[nginx][access][user_name]} \[%{HTTPDATE:[nginx][access][time]}\] "%{WORD:[nginx][access][http_method]} %{DATA:[nginx][access][http_version]}" %{NUMBER:[nginx][access][http_response_code]} %{NUMBER:[nginx][access][body_sent][bytes]} "%{DATA:[nginx][access][referrer]}" "%{DATA:[nginx][access][agent]}"'
    - date:
        match_formats: ["dd/MMM/YYYY:H:m:s Z"]
        target_field: "@timestamp"
        source_field: "[nginx][access][time]"
  fields_under_root: true
  fields:
    type: nginx

output.elasticsearch:
  hosts: ["localhost:9200"]

以上配置文件中使用了grok处理器，其中的正则表达式可以从Nginx日志中提取remote_ip、user_name、time、http_method、http_version、http_response_code、body_sent、referrer和agent等字段。