elasticsearch Logstash grok筛选器，调试器正常，但Logstash解析失败

我的grok过滤器在grok调试器中正常，但在启动logstash时不工作

我的线路日志

[Mon Aug 28 09:16:16.028821 2017] [php7:notice] [pid 11111] [client 22.22.66.66:66666] message d'erreur

我的.conf

filter { 
   grok { 
      match => { "message" => "\[%{DAY:day} %{MONTH:month} %{MONTHDAY:monthday} %{TIME:time} %{YEAR:year}\] \[%{WORD:php}:%{WORD:logelvel}\] \[%{WORD} %{WORD:processus}\] \[%{WORD} %{IP}:%{POSINT:port}\] %{GREEDYDATA: message}" }
   } 
}

结果:

@timestamp:August 28th 2017, 10:40:22.380 offset:5,269 @version:1 input_type:log beat.hostname:ip-166-55-55-55 beat.name:ip-166-55-55-55 beat.version:5.5.1 host:ip-175-61-66-66 source:/var/log/apache2/filelog.log 
message:[Mon Aug 28 09:10:59.023093 2017] [php7:notice] [pid 11111] [client 22.22.66.66:66666] 
message d'erreur type:log tags:beats_input_codec_plain_applied, _grokparsefailure _id:AV4n_8akHhd-RttynnUH _type:log _index:index-2017.08.28 _score: -

---

非常感谢您的帮助。

您需要像这样避开方括号：

\[%{DAY:day} %{MONTH:month} %{MONTHDAY:monthday} %{TIME:time} %{YEAR:year}\] \[%{WORD:php}:%{WORD:logelvel}\] \[%{WORD} %{WORD:processus}\] \[%{WORD} %{IP}:%{POSINT:port}\] %{GREEDYDATA:message}

---

您需要像这样转义方括号：

\[%{DAY:day} %{MONTH:month} %{MONTHDAY:monthday} %{TIME:time} %{YEAR:year}\] \[%{WORD:php}:%{WORD:logelvel}\] \[%{WORD} %{WORD:processus}\] \[%{WORD} %{IP}:%{POSINT:port}\] %{GREEDYDATA:message}

---

%{GREEDYDATA:message}

中的空格必须删除，否则将无法使用（至少在grok debugger中）。抱歉，我看不出两者之间的区别。好的，对于baudsp编辑之前的空格，您的grok模式错过了方括号之前的“\”，我建议添加它们谢谢您的回答，但请参阅我的版本，我有\所有[.I更改了空格，但出现了相同的问题。请尝试从结尾逐渐删除模式中的块，直到解析器不再失败。这样，您应该了解哪个令牌失败了

%{GREEDYDATA:message}

中的空格必须删除，否则它将无法工作（至少在grok调试器中）。抱歉，我看不出两者之间的区别。好的，对于baudsp编辑之前的空格，您的grok模式没有在方括号之前添加“\”，我建议添加它们。谢谢您的回答，但请查看我的版本，我有\all[.我更改了空格，但遇到了相同的问题。请尝试从模式的末尾逐渐删除块，直到解析器不再失败。这样，您应该了解哪个令牌失败了