云计算服务
服务器租用
DDOS 防护
虚拟主机
域名服务
基础设施
关于我们
一个java程序报错往往是一个事件，这个报错并不是一行就能展示完的，几乎需要几十行才能展示完这个报错内容，对于filebeat来说，filebeat每次都是把一行看成了一个日志，那么对于java多行报错就不是很友好了，即使收集过来也是将一个事件的报错日志分成很多行在kibana上展示，这样对于开发人员来看日志就很头疼了
如果对于多行报错的日志还用传统的收集方法，就像下图一样，完全不知道报错是什么了，不管谁看这个日志都需要去对比
多行报错日志：一般的报错日志都是1行就可以显示完整，但是有一些像java的项目一行就显示不完整报错内容，往往是多行一起分析才能看出来报错的内容
只要是需要将多行报错连在一起的日志都属于多行报错型日志
多行报错型日志收集方案：一个报错肯定是以xxx开头，到下一个xxx的时候结束，我们可以通过匹配规则，匹配到xxx，只要下一行日志内容不是xxx，就都连在一起，直到遇到下一个xxx为止
tomcat java报错日志举例这就是一个典型的多行报错的日志
可以看到它就是以时间开始的，现在是20xx年嘛，所以可以匹配只要是以20开头的行，只要下一行不是20开头，就集合在一起，直到遇到下一个20就结束
部分配置项进行说明：
multiline.pattern: '^20' //多行匹配规则，以xxx开头的，使用正则表达式 multiline.negate: true //值为true或flase，使用flase表示将匹配到的行合并到上一行，使用true表示将不匹配的行合并到上一行（用true的一般比较多，因为多行报错，肯定不是匹配的行合并在一起，那样就没有详细信息了） multiline.match: after //值为after和befor，使用after表示合并到匹配行的上一行末尾，使用before表示合并到匹配行的行首（一般就是after，合并到匹配行的上一行末尾就可以了）
2.1.配置filebeat收集多行报错1.修改配置文件
[root@nginx02 /etc/filebeat]# vim filebeat.yml
filebeat.inputs:
- type: log
enabled: true
paths:
- /data/tomcat/logs/catalina.out
multiline.pattern: '^20' #多行匹配规则
multiline.negate: true #将不匹配的规则的行合并在一起
multiline.match: after #合并到匹配规则的上一行末尾
tags: ["java"]
output.elasticsearch:
hosts: ["192.168.81.210:9200"]
indices:
- index: "tomcat-java-%{+yyyy.MM.dd}"
when.contains:
tags: "java"
2.重启filebeat
[root@nginx02 /etc/filebeat]# systemctl restart filebeat随便打开配置文件，改错一个地方，来回启动就有了报错日志
[root@nginx02 /data/tomcat]# vim conf/server.xm
<ssssServer port="8005" shutdown="SHUTDOWN">
[root@nginx02 /data/tomcat]# ./bin/startup.sh 
已经有了153条数据
点击Managerment---索引模式---创建索引
创建成功
点击Discovery---选择java索引---搜索ERROR就可以看到java多行的报错日志了，可以明显看到，行变的高了，多行日志也就说明合并在了一起
点击日志的小三角，即可看到完整的报错内容
.png)
.png)
