Filebeat 不能直接解析 XML 结构，仅支持按行或多行读取原始文本；XML 嵌套特性需在 Logstash 或 Elasticsearch 中解析，且 Logstash 的 xml 过滤器输出均为字符串类型，须用 mutate convert 显式转换数值类型。
Filebeat 能否直接解析 XML 结构？
不能。filebeat 本身不提供 XML 解析能力，它只负责按行或按多行规则读取原始文本。XML 是嵌套结构，单靠 multiline 或 dissect 无法提取
如何配置 Filebeat 读取多行 XML 日志？
常见场景是：每个 XML 记录跨多行，且以固定起始标签开头（如 ）。这时要用 multiline 规则确保整段 XML 不被拆成多条事件发送。
-
pattern必须匹配“新记录开始”的行（推荐用起始标签，更稳定） -
match: after表示匹配到该行后，把前面未发送的行和它一起合并 -
negate: true配合match: after可实现“遇到起始标签才切分”，避免误判注释或空行
filebeat.inputs:
- type: filestream
paths:
- "/var/log/app/*.xml"
multiline.pattern: '^'
multiline.match: after
multiline.negate: true
multiline.timeout: 5s Logstash 怎么解析接收到的 XML 字符串？
Filebeat 发送的是完整 XML 文本（作为 message 字段），Logstash 需用 xml 过滤器提取字段。注意：source 必须指向含 XML 内容的字段（通常是 message），target 指定解析结果存入的字段名（如 xml_data）。
- 如果 XML 有命名空间（如
xmlns="http://example.com/ns"），默认解析会失败，需加remove_namespaces => true - 如果 XML 包含 CDATA 或特殊字符，确保 Logstash 输入未做意外转义（例如
codec => "plain"） - 解析后字段是嵌套哈希，可用
mutate + rename提升关键字段到顶层，例如把[xml_data][time]→time
filter {
xml {
source => "message"
target => "xml_data"
remove_namespaces => true
}
mutate {
rename => { "[xml_data][time]" => "time" }
rename => { "[xml_data][level]" => "level" }
}
}为什么 Logstash 解析后字段全是字符串？
因为 xml 过滤器输出的所有值都是字符串类型，即使 XML 里写的是
- 用
mutate + convert显式转换类型，例如convert => { "count" => "integer" } - 如果字段可能为空或含非数字字符，先用
if [count] =~ /^\d+$/判断再转，否则会报错并丢弃事件 - 时间字段建议用
date过滤器而非convert，支持格式识别和时区处理
真正麻烦的不是配置，而是 XML 格式不统一——同一类日志中有的字段缺失、有的嵌套层级不同、有的混着 HTML 实体（zuojiankuohaophpcn）。这种情况下，xml 过滤器会静默跳过无法映射的部分，你得靠 ruby 过滤器兜底或提前清洗。
