logstash date的使用

### 使用 `date` 过滤器进行日期处理

在 Logstash 配置文件中，可以利用 `date` 过滤器来解析并标准化来自不同源的日志条目中的时间戳。这有助于确保所有日志记录都采用统一的时间格式存储于最终目的地。

#### 基本语法
以下是使用 `date` 过滤器的一个基本例子：

filter {
  date {
    match => ["timestamp", "yyyy-MM-dd HH:mm:ss"]
  }
}

此配置尝试匹配名为 `timestamp` 的字段，并将其转换成指定的日期格式[^1]。

#### 处理多种输入格式
当面对可能具有多个潜在格式的时间字符串时，可以通过传递数组给 `match` 参数来支持多格式识别：

filter {
  date {
    match => [ "log_date", "ISO8601", "YYYY.MM.dd-HH.mm.ss" ]
  }
}

这段代码会依次尝试将 `log_date` 字段按照 ISO8601 或自定义格式 (`YYYY.MM.dd-HH.mm.ss`) 解析为标准 Unix 时间戳[^2]。

#### 设置目标时间和区域设置
为了更精确地控制输出时间表示方式以及解决跨地区部署带来的时区差异问题，还可以通过额外参数调整行为:

filter {
  date {
    match       => [ "event_time", "dd/MMM/yyyy:HH:mm:ss Z" ]
    timezone    => "America/New_York"
    target      => "@timestamp"
    add_field   => { "parsed_timestamp" => "%{+YYYY-MM-dd'T'HH:mm:ss.SSSZ}" }
  }
}

上述片段不仅指定了特定的输入模式和期望的目标字段(`@timestamp`)，还增加了新的元数据字段用于保存重新格式化的日期字符串[^3]。