logstash controlla se il campo esiste

Question

I file di registro arrivano in uno stack ELK. Voglio copiare un campo (foo) per eseguire varie mutazioni su di esso, tuttavia il campo (foo) non è sempre presente.

Se foo non esiste, quindi bar viene comunque creato, ma è assegnata la stringa letterale "%{foo}"

Come posso eseguire una mutazione solo se esiste un campo?

Sto provando a fare qualcosa di simile.

if ["foo"] { 
    mutate { 
    add_field => "bar" => "%{foo} 
    } 
} 

Answer 1

"foo" è una stringa letterale.

[foo] è un campo.

# technically anything that returns 'true', so good for numbers and basic strings: 
if [foo] { 
} 

# contains a value 
if [foo] =~ /.+/ { 
} 

Answer 2

Per controllare se campo foo esiste:

1) Per i campi di tipo numerico Utilizzare:

if ([foo]) { 
    ... 
} 

2) Per i tipi diversi numerico come booleana, uso stringa:

if ("" in [foo]) { 
    ... 
} 

Answer 3

su Logstash 2.2.2, il costrutto ("" in [field]) non sembra funzionare per me.

if ![field] { } 

, per un campo non numerico.