解析系统日志条目

Question

这就是条目的样子：

Jan 26 20:53:31 hostname logger: System rebooted for hard disk upgrade

我正在编写一个小应用程序来解析这样的条目，并将格式良好的消息通过电子邮件发送给管理员。我正在用 Perl 编写并找到 split() 函数，这正是我正在寻找的：

my @tmp = split(/ /, $string, 4);
@tmp = {$date, $hostname, $facility, $message)

这就是我希望得到的。 Split() 可以处理 $message 部分中的空格，因为我限制了要拆分的“单词”数量。然而，$date 部分中的空格却使其失效。有没有一种干净的方法可以让这些变量代表它们应该表达的意思？

我知道我可以使用 substr() 获取前 15 个字符（日期），然后使用 split() 并将其限制为 3 个单词而不是 4 个，然后从那里获取所有字符串。但有没有更优雅的方法来做到这一点？

Answer 1

如果单行对于优雅很重要，请在后面不跟数字的空格上进行分割：

my ( $time, $hostname, $facility, $message ) = split /\s+(?=\D)/, $string, 4;

---

但使用 分割 和 <代码>解压以满足需求：

my ( $timeStamp, $log ) = unpack 'A15 A*', $string;

my ( $host, $facility, $msg ) = split /\s+/, $log;

Answer 2

Parse::Syslog 是否可以满足您的需要我-尝试-这个-正则表达式-哦-它-不工作-好的-我-hcanged-并且-它-工作-哦-不总是-嗯-让我-尝试-那-更好-是啊，哦，没有，它坏了，让我试试这个，还没有人做过这个，感觉吗？

Answer 3

使用正则表达式。这是一个简单的例子：

$mystring = "Jan 26 20:53:31 hostname logger: System rebooted for hard disk upgrade";
if($mystring =~ m/(\w{3}\s+\d{1,2}\s\d{2}:\d{2}:\d{2})\s([^\s]*)\s([^\s:]*):\s(.*$)/) {
    $date=$1;
    $host=$2;
    $facility=$3;
    $mesg=$4;
    print "Date: $date\nHost: $host\nFacility: $facility\nMesg: $mesg";
}

Answer 4

老问题，但我遇到了类似的问题，并通过格式化我的 syslog 消息（因此修改了 rsyslog.conf）进行了纠正。

我创建了 rsyslog 模板，如下所示

template(name="CustomisedTemplate" type="list") {
    property(name="timestamp")
    constant(value=" ")
    property(name="$year")
    constant(value=";")
    property(name="hostname")
    constant(value=";")
    property(name="programname")
    constant(value=";")
    property(name="msg" spifno1stsp="on")
    property(name="msg" droplastlf="on")
    constant(value="\n")
}

，然后

将自定义模板设置为默认值

    $ActionFileDefaultTemplate CustomisedTemplate.

我通过添加到 (r)syslog.conf

我也可以创建我的程序（记录器）的过滤器，它将使用程序（记录器）创建的模板和重定向消息来分隔文件。为了实现这一点，我添加

    if $programname contains "logger" then /var/logs/logger.err;CustomisedTemplate

到 (r)syslog.conf

所以最后我的系统日志条目看起来

Jan 26 20:53:31 2016;hostname;logger:;System rebooted for hard disk upgrade

相当容易解析。