centos filebeat怎样多行采集

在 CentOS 上配置 Filebeat 多行日志采集（multiline），核心是在 filebeat.yml 中针对日志路径配置 multiline.pattern 等参数。下面按常见场景说明。

一、基本配置示例（以 Java 堆栈日志为例）

编辑 Filebeat 配置文件（通常路径）：

/etc/filebeat/filebeat.yml

示例配置：

filebeat.inputs:
- type: log
  enabled: true
  paths:
    - /var/log/app/*.log

  # 多行配置
  multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
  multiline.negate: true
  multiline.match: after
  multiline.timeout: 5s

参数说明

• multiline.pattern
  正则，用来识别“新日志行的开始”
• multiline.negate
  • true：不匹配 pattern 的行，合并到上一行
  • false：匹配 pattern 的行，合并到上一行
• multiline.match
  • after：追加到上一行后面
  • before：插入到上一行前面
• multiline.timeout 超过该时间仍未遇到新行，强制提交

✅ 上面例子表示：
不以日期开头的行，都合并到上一条日志中（适合 Java 异常堆栈）

二、常见日志场景配置

1️⃣ Java / Spring 异常堆栈

multiline.pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2} [0-9]{2}:[0-9]{2}'
multiline.negate: true
multiline.match: after

2️⃣ 以 [ 开头的日志（如某些框架）

multiline.pattern: '^\['
multiline.negate: true
multiline.match: after

3️⃣ JSON 日志（一行一条，不需要多行）

multiline.pattern: '^{'
multiline.negate: false
multiline.match: before

4️⃣ 以 INFO/WARN/ERROR 开头

multiline.pattern: '^(INFO|WARN|ERROR|DEBUG)'
multiline.negate: true
multiline.match: after

三、多个日志文件不同规则

filebeat.inputs:
- type: log
  paths:
    - /var/log/app/app.log
  multiline.pattern: '^[0-9]{4}-'
  multiline.negate: true
  multiline.match: after

- type: log
  paths:
    - /var/log/app/audit.log
  multiline.pattern: '^audit'
  multiline.negate: false
  multiline.match: before

四、验证配置是否正确

filebeat test config
filebeat test output

五、重启 Filebeat（CentOS 7/8）

systemctl restart filebeat
systemctl status filebeat

六、排查技巧

• 看 Filebeat 日志：

journalctl -u filebeat -f

• 临时调试：

filebeat -e -c /etc/filebeat/filebeat.yml

如果你能提供 具体日志样例（比如 Java / Nginx / Docker / 自定义格式），我可以直接帮你写一份精准的 multiline 配置。