从日志条目中的json提取json值

Question

使用总和，我如何对消息部分是json（所以不完全是）的日志条目执行查询？

示例条目:

生产。警告:我们受到速率限制{ " class ":" App \ WebhookService \ WebhookExecutor "，" headers":{"Date":["Thu，2020年4月30日02:10:32 GMT"]，" Content-Type ":[" application/JSON "]，" Content-Length":["88"]，" Connection":["keep-alive"]，" Set-Cookie ":...

我有很多具有不同类路径的此类错误，有些是webhooks执行，有些是不同的对象。我的最终目标是能够计算每个类名的日志条目，如下所示：

WebhookExecutor     | 156
SyncDataService     | 48
DeleteService       | 13

我从这样的事情开始：

“我们受到价格限制”|json auto|json“class”

我对^的期望是，它会在我的日志搜索结果中创建一个名为< code>class的列，然后我可以对它进行分组、计数等。

Answer 1

不确定你说的“部分Json”是什么意思？即:

1. 日志消息包含其他文本和正确的Json
2. 或者消息包含类似于Json但不是真正的Json的内容-例如Json消息的前缀

您需要将Json提取到自己的适当字段中。否则|json auto无法获取它。

因此：

"We were rate limited"
| parse "We were rate limited *" as limitedJson
| json auto
| count by class

应该做这项工作。甚至不需要第一行，因为parse也可以进行过滤。

在这种情况下，这很难，但仍然可行。

我还没有测试过它，但像这样的东西应该可以工作：

"We were rate limited"
| parse "\"class\":\"*\"" as class
| count by class

在这里，转义嵌套引号看起来并不好。

免责声明：我目前受雇于相扑逻辑。