## 一、說明 整個ELK搭建過程中最痛苦的就是調試Grok表達式去結構化日志數據，介紹兩個調試工具可以提升效率 ## 二、調試工具 ### 2.1. grokdebug [http://grokdebug.herokuapp.com/](http://grokdebug.herokuapp.com/) 優點：在線調試 缺點：需要翻墻否則訪問速度非常慢，缺乏具體的報錯提示 > 表達式正確 >  > 表達式錯誤 >  ### 2.2. kibana kibana本身的`Dev Tools`菜單里面有個`Grok Debugger`就是用來調試Grok語法的，如下圖 > 表達式正確 >  > 表達式錯誤：找不到pattern >  > 補充自定義patterns后表達式正確 >  ### 2.3. logstash 直接用logstash本身來進行配置調試 **(1) 創建測試配置** 在config目錄下新建`test.conf`配置文件，內容如下： ~~~ input { stdin { } } filter { grok { match => { "message" => "%{TIMESTAMP_ISO8601:log_time}\|%{WORD:resouce_id}" } } } output { stdout { codec => rubydebug } } ~~~ > 修改filter里面的內容為自己想要測試的配置 **(2) 運行** 執行一下命令啟動logstash ~~~ bin/logstash -f config/test.conf ~~~ 當看到打印以下信息則代表啟動成功 ~~~ Successfully started Logstash API endpoint {:port=>9600} ~~~ **(3) 測試** 在控制臺中輸入測試的內容 ~~~ 2021-01-12 10:00:00.000|123 ~~~ 輸出結果 ~~~ { "@version" => "1", "log_time" => "2021-01-12 10:00:00.000", "host" => "lf-172-16-21-134", "message" => "2021-01-12 10:00:00.000|123", "@timestamp" => 2021-01-13T09:18:28.397Z, "resouce_id" => "123" } ~~~