ELK之使用filebeat的多行过滤插件把多行合并成一行

　　java运行日志一般有多行，格式类似如下

　　格式为：日期 + 日志级别 + 日志信息 有些日志是多行的，需要使用filebeat多行插件把多行合并成一行

　　未使用多行插件的日志格式

　　修改filebeat配置文件/etc/filebeat/filebeat.yml 在原来基础上面添加多行合并配置

  multiline:
      pattern: '^d{4}-d{1,2}-d{1,2}sd{1,2}:d{1,2}:d{1,2}'
      negate: true
      match: after

• pattern：正则表达式，匹配日志格式
• negate：默认为false，暗示匹配pattern的行归并到上一行；true暗示不匹配pattern的行归并到上一行
• match：after暗示归并到上一行的末端，before暗示归并到上一行的行首

　　重启filebeat

systemctl restart filebeat

　　收集的日志格式为（多行已经合并）

　　如果在页面显示不全可以单击此处