logstash:变异{gsub…}不起作用

这确实会创建一个字段“eee”，但gsub不会更新它。为什么？

add\u字段在基础筛选器成功时运行。在您的例子中，运行mutate{}，然后运行add_字段

要在添加字段后生成mutate{}，请使用两个mutate块：

    mutate {
        add_field => {"eee" => "2016 uaie"}
        gsub => [
            "eee", "2016", "2015"
        ]
   }

mutate {
    add_field => {"eee" => "2016 uaie"}
}

mutate {
    gsub => [
        "eee", "2016", "2015"
    ]
}