From:http://www.ttlsa.com/elk/elk-logstash-configuration-syntax/

logstash支援的資料型別有：

• array
  陣列可以是單個或者多個字串值。
  path => [ "/var/log/messages", "/var/log/*.log" ]
  path => "/data/mysql/mysql.log"
  如果指定了多次，追加陣列。此例項path陣列包含三個字串元素。
• boolean
  布林值必須是TRUE或者false。true和false不能有引號。
  ssl_enable => true
• bytes
  指定位元組單位。支援的單位有SI (k M G T P E Z Y) 和 Binary (Ki Mi Gi Ti Pi Ei Zi Yi)。Binary單位基於1024，SI單位基於1000。不區分大小寫和忽略值與單位之間的空格。如果沒有指定單位，預設是byte。
  my_bytes 
  => "1113" # 1113 bytes
  my_bytes => "10MiB" # 10485760 bytes
  my_bytes => "100kib" # 102400 bytes
  my_bytes => "180 mb" # 180000000 bytes
• Codec
  logstash編碼名稱用來表示資料編碼。用於input和output段。便於資料的處理。如果input和output使用合適的編碼，就無需單獨的filter對資料進行處理。
  codec => "json"
• hash
  鍵值對，注意多個鍵值對用空格分隔，而不是逗號。
  match => {
  "field1"
   => "value1"
  "field2" => "value2"
  ... }
• number
  必須是有效的數值，浮點數或者整數。
  port => 33
• password
  一個單獨的字串。
  my_password => "password"
• path
  一個代表有效的作業系統路徑。
  my_path => "/tmp/logstash"
• string
  name => "Hello world"
  name => 'It\'s a beautiful day'

欄位引用

logstash欄位引用語法。要在 Logstash 配置中使用欄位的值，只需要把欄位的名字寫在中括號 [] 裡就行了，這就叫欄位引用。還需注意欄位層次。如果引用的是一個頂級欄位，可以省略[]，直接指定欄位名。要引用巢狀的欄位，需要指定完整的路徑，如[top-level field][nested field]。

下面有五個頂級欄位(agent, ip, request, response, ua) 和三個巢狀欄位 (status, bytes, os)。

為了引用os欄位，需指定[ua][os]。引用頂級欄位如request，可以簡單指定request即可。

sprintf格式

欄位引用格式也可以用於logstash呼叫sprintf格式。這種格式可以從其他字串中引用欄位值。如：

也可以格式化時間。如：

條件判斷

使用條件來決定filter和output處理特定的事件。

logstash條件類似於程式語言。條件支援if、else if、else語句，可以巢狀。

條件語法如下：