Logstash需安装logstash-filter-xml插件解析XML，配置xpath映射字段并设store_xml=>false；处理重复节点需force_array与split配合；数值和时间字段须类型转换与date过滤；输出前应清洗编码、命名空间及转义字符。
Logstash 本身不直接内置 XML 过滤器，但可通过 logstash-filter-xml 插件解析 XML 数据。要将 XML 数据导入 Elasticsearch，关键在于：先用 Logstash 正确解析 XML 结构，再将字段映射为 JSON 格式写入 Elasticsearch。
Logstash 默认不包含 XML 解析能力，需手动安装官方插件：
bin/logstash-plugin install logstash-filter-xml
bin/logstash-plugin list | grep xml 应输出 logstash-filter-xml
XML 过滤器要求输入是字符串格式的完整 XML（如来自 file、http、kafka 或 beats 输入），且需指定目标字段和 XPath 映射规则。常见配置示例：
filter {
xml {
source => "message" # 指定含 XML 内容的字段名（如 file 输入的默认字段）
target => "parsed_xml" # 解析结果存入新字段
store_xml => false # 设为 false 可避免嵌套 XML 字符串，推荐
xpath => [
"/root/entry/title/text()", "title",
"/root/entry/content/text()", "content",
"/root/entry/@id", "entry_id",
"/root/entry/time/@iso", "timestamp"
]
}
# 若需时间字段用于 @timestamp，可转换
date {
match => ["timestamp", "ISO8601"]
target => "@timestamp"
}
}注意：store_xml => false 是关键，否则会把整个 XML 当字符串塞进字段；xpath 数组中每对值分别是 XPath 表达式和对应输出字段名。
当 XML 含多个同级节点（如 RSS 中多个 xml 插件的 force_array 和后续 split 处理：
force_array => ["item"] 确保 item 始终为数组split 拆分数组字段（如 split { field => "[parsed_xml][item]" }）xml 或 mutate + rename 提取子字段确保解析后的字段类型适配 Elasticsearch mapping：
mutate { convert => { "entry_id" => "integer" } } 转换类型date 过滤器生成 @timestamp，否则 ES 默认用摄入时间mutate { rename => { "old.name" => "old_name" } }
输出配置示例：
output {
elasticsearch {
hosts => ["http://localhost:9200"]
index => "xml-logs-%{+YYYY.MM.dd}"
}
}不复杂但容易忽略：XML 编码（如 UTF-8 带 BOM）、命名空间（namespace）和转义字符（& → &）会影响 XPath 匹配，必要时先用 mutate { gsub => [...] } 清洗原始内容。
以上就是如何将XML数据导入到Elasticsearch Logstash XML过滤器的详细内容，更多请关注php中文网其它相关文章！
每个人都需要一台速度更快、更稳定的 PC。随着时间的推移，垃圾文件、旧注册表数据和不必要的后台进程会占用资源并降低性能。幸运的是，许多工具可以让 Windows 保持平稳运行。
广告
收藏
收藏
收藏
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
636
