Apache 日志解析器

Apache 日志（组合格式）具有精确的结构：

127.0.0.1 - - [10/Oct/2024:13:55:36 +0000] "GET /index.html HTTP/1.1" 200 1234

具有命名组的模式一次性提取每个字段：

^(?<ip>\d+\.\d+\.\d+\.\d+)\s+\S+\s+\S+\s+\[[^\]]+\]\s+"(?<metodo>\w+)\s+(?<path>\S+)\s+\S+"\s+(?<status>\d+)\s+(?<size>\d+)

它看起来很可怕，但它是简单模式的串联：

• (?<ip>\d+\.\d+\.\d+\.\d+) -- 源 IPv4。
• \s+\S+\s+\S+ -- 用户 ID（通常为 -）。
• \[[^\]]+\] -- 方括号中的日期。
• "(?<metodo>\w+)\s+(?<path>\S+)\s+\S+" -- 引号中的请求，带有 HTTP 方法、路径和版本。
• (?<status>\d+)\s+(?<size>\d+) -- 发送的状态代码和字节。

总体策略

1. 从实行开始并固定分隔符：空格、引号、括号。
2. 在分隔符之间，标识令牌的类型（IP、单词、数字）。
3. 仅包含您需要提取的命名组。

解析复杂日志

在日志解析中，字段通常以空格分隔，除非它们包含带引号的字符串或括号（例如用户代理）。使用排除字符类而不是通配符点可以防止错误地合并多个列。

尝试一下

复习练习

额外的挑战