Я читаю форматированный ввод XML и пытаюсь извлечь каждую строку таблицы HTML как отдельное событие.

Например, если мой ввод:

<xml> <table> <tr> <td> 1 </td> <td> 2 </td> </tr> <tr> <td> 3 </td> <td> 4 </td> </tr> </table> </xml>

Я хочу, чтобы вывод был:

{
       "message" => "<tr> <td> 1 </td> <td> 2 </td> </tr>",
      "@version" => "1",
    "@timestamp" => "2015-03-20T10:30:38.234Z",
          "host" => "VirtualBox"
}
{
       "message" => "<tr> <td> 3 </td> <td> 4 </td> </tr>",
      "@version" => "1",
    "@timestamp" => "2015-03-20T10:30:38.234Z",
          "host" => "VirtualBox"
}

Проблема в том, что мне нужно разделить событие на несколько событий. Использование фильтра разделения не сработало, потому что он удаляет строку, используемую в качестве «терминатора».

Я разработал собственный шаблон grok для извлечения содержимого строки html:(?<data><tr>(.)*?</tr>)

К сожалению, этот шаблон обнаруживает только первое вхождение, и хотя в одном XML-файле имеется конечное число вхождений, количество строк заранее неизвестно.

Глядя наJIRA-703 на сайте logstash Боюсь, Грок не может найти один шаблон несколько раз. (На данный момент, Марс 2015)

Я вынужден кодировать свой собственный фильтр? Можно ли сохранить каждое совпадение фильтра Грока как новое событие?

Вы можете посмотреть на мой фильтр

    input {
        stdin { }
    }

    filter {
        mutate {
            gsub => ["message", "<tr>", "[split]<tr>"]
        }
        mutate {
            gsub => ["message", "</tr>", "</tr>[split]"]
        }
        split {
            terminator => "[split]"
        }
        grok {
            patterns_dir => "../patterns"
            #voir pourquoi le meme pattern plusieurs fois ne fonctionne pas
            #https://logstash.jira.com/browse/LOGSTASH-703
            match => ["message", "%{HTML_ROW_LINE:data}" ]
        }
    }

    output {
        stdout {
            codec => rubydebug
        }
    }

Я обнаружил, что когда я разделяю событие до и после строки, фильтр grok, кажется, больше не работает. Я действительно получаю то, что хочу в поле «сообщение», но больше не в поле «данные», как хотелось.

Странно то, что я не получаю тег "_grokparsefailure", пока у меня нет поля данных. Кажется, это указывает на то, что на самом деле есть совпадение, но оно не сохраняется в поле.