函數(shù)類型

函數(shù)

操作說明

流程控制函數(shù)

e_if

多個條件與操作組合。

e_if_else

根據(jù)條件判斷的結(jié)果進(jìn)行對應(yīng)操作。

e_switch

條件與操作的組合。滿足一個條件操作后跳出。

e_compose

組合一系列操作，并依次調(diào)用。

事件操作函數(shù)

e_drop

根據(jù)條件判斷是否丟棄日志。

e_keep

根據(jù)條件判斷是否保留日志。

e_split

基于日志字段的值分裂出多條日志，并且支持通過JMES提取字段后再進(jìn)行分裂。

e_output

輸出日志到指定的Logstore中，且對應(yīng)的日志不再執(zhí)行后面的加工規(guī)則。

e_coutput

輸出日志到指定的Logstore中，且對應(yīng)的日志繼續(xù)執(zhí)行后面的加工規(guī)則。

e_to_metric

將日志格式轉(zhuǎn)化為時(shí)序存儲（MetricStore）的格式。

字段操作函數(shù)

v

獲得日志特定字段的值。

e_set

添加新字段或?yàn)楝F(xiàn)有字段設(shè)置新的字段值。

e_drop_fields

刪除符合條件的日志字段。

e_keep_fields

保留符合條件的日志字段。

e_pack_fields

打包日志字段，并輸出到新的字段中。

e_rename

重命名符合條件的日志字段名稱。

字段值提取函數(shù)

e_regex

根據(jù)正則表達(dá)式提取字段的值并賦值給其他字段。

e_json

對特定字段中的JSON對象進(jìn)行JSON操作，包括JSON展開、JMES提取或者JMES提取后再展開。

e_kv

通過quote提取多個源字段中的鍵值對信息。

e_kv_delimit

通過分隔符提取源字段中的鍵值對信息。

e_csv

使用默認(rèn)分隔符半角逗號（,）提取多個字段。

e_tsv

使用默認(rèn)分隔符tab \t提取多個字段。

e_psv

使用默認(rèn)分隔符豎線（|）提取多個字段。

e_syslogrfc

根據(jù)Syslog協(xié)議由已知priority值計(jì)算出facility和severity，并且匹配相應(yīng)的level信息。

e_anchor

使用定義的anchor_rules規(guī)則提取字符串。

映射富化函數(shù)

e_dict_map

在映射關(guān)系的字典中，根據(jù)輸入的字段映射出一個新字段。

e_table_map

在映射表格中查找對應(yīng)的行，根據(jù)輸入的字段返回字段的值。

e_tablestore_map

以阿里云表格存儲（Tablestore）作為維表數(shù)據(jù)對原始日志進(jìn)行富化。

e_redis_map

以阿里云Redis作為維表數(shù)據(jù)對原始日志進(jìn)行富化。

e_search_dic_map

對關(guān)鍵字（查詢字符串）以及其匹配的值的字典數(shù)據(jù)進(jìn)行映射。

e_search_table_map

對某列（查詢字符串）以及其匹配的值的表格數(shù)據(jù)進(jìn)行映射。