centos filebeat怎样配置多行

在 CentOS 上使用 Filebeat 采集多行日志（multiline），核心是在 filebeat.yml 中配置 multiline 相关参数。下面给你几种常见场景和完整示例。

一、基本配置位置

编辑 Filebeat 配置文件（通常路径）：

/etc/filebeat/filebeat.yml

在 filebeat.inputs 节点下配置，例如：

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /var/log/app/*.log
    multiline:
      pattern: '^\['
      negate: true
      match: after

二、常用 multiline 参数说明

三、常见场景示例

1️⃣ Java / 堆栈异常（以时间或 [ 开头）

multiline:
  pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
  negate: true
  match: after

或：

multiline:
  pattern: '^\['
  negate: true
  match: after

✅ 效果：
不是以日期或 [ 开头的行，都合并到上一行（如异常堆栈）

2️⃣ 以时间戳开头的日志

multiline:
  pattern: '^\d{2}:\d{2}:\d{2}'
  negate: true
  match: after

3️⃣ JSON 日志（一行一个 JSON）

multiline:
  pattern: '^\{'
  negate: false
  match: after

（一般不推荐 JSON 用 multiline，建议程序直接输出单行 JSON）

4️⃣ 限制行数和超时（防止卡死）

multiline:
  pattern: '^\['
  negate: true
  match: after
  max_lines: 1000
  timeout: 5s

四、完整示例（Java 应用）

filebeat.inputs:
  - type: log
    enabled: true
    paths:
      - /opt/app/logs/app.log
    multiline:
      pattern: '^[0-9]{4}-[0-9]{2}-[0-9]{2}'
      negate: true
      match: after
      timeout: 5s

output.elasticsearch:
  hosts: ["http://localhost:9200"]

五、测试与生效

1️⃣ 校验配置

filebeat test config

2️⃣ 重启 Filebeat

systemctl restart filebeat

3️⃣ 查看状态

systemctl status filebeat

六、调试技巧（非常重要）

filebeat -e -c /etc/filebeat/filebeat.yml

可以实时看到日志是否被正确合并。

如果你愿意，可以：

• 贴一段 你的日志样本
• 告诉我你用的是 Elasticsearch / Logstash / Kafka

我可以直接帮你写 最合适的一版配置。