函數類型

函數

操作說明

流程控制函數

e_if

多個條件與操作組合。

e_if_else

根據條件判斷的結果進行對應操作。

e_switch

條件與操作的組合。滿足一個條件操作后跳出。

e_compose

組合一系列操作，并依次調用。

事件操作函數

e_drop

根據條件判斷是否丟棄日志。

e_keep

根據條件判斷是否保留日志。

e_split

基于日志字段的值分裂出多條日志，并且支持通過JMES提取字段后再進行分裂。

e_output

輸出日志到指定的Logstore中，且對應的日志不再執行后面的加工規則。

e_coutput

輸出日志到指定的Logstore中，且對應的日志繼續執行后面的加工規則。

e_to_metric

將日志格式轉化為時序存儲（MetricStore）的格式。

字段操作函數

v

獲得日志特定字段的值。

e_set

添加新字段或為現有字段設置新的字段值。

e_drop_fields

刪除符合條件的日志字段。

e_keep_fields

保留符合條件的日志字段。

e_pack_fields

打包日志字段，并輸出到新的字段中。

e_rename

重命名符合條件的日志字段名稱。

字段值提取函數

e_regex

根據正則表達式提取字段的值并賦值給其他字段。

e_json

對特定字段中的JSON對象進行JSON操作，包括JSON展開、JMES提取或者JMES提取后再展開。

e_kv

通過quote提取多個源字段中的鍵值對信息。

e_kv_delimit

通過分隔符提取源字段中的鍵值對信息。

e_csv

使用默認分隔符半角逗號（,）提取多個字段。

e_tsv

使用默認分隔符tab \t提取多個字段。

e_psv

使用默認分隔符豎線（|）提取多個字段。

e_syslogrfc

根據Syslog協議由已知priority值計算出facility和severity，并且匹配相應的level信息。

e_anchor

使用定義的anchor_rules規則提取字符串。

映射富化函數

e_dict_map

在映射關系的字典中，根據輸入的字段映射出一個新字段。

e_table_map

在映射表格中查找對應的行，根據輸入的字段返回字段的值。

e_tablestore_map

以阿里云表格存儲（Tablestore）作為維表數據對原始日志進行富化。

e_redis_map

以阿里云Redis作為維表數據對原始日志進行富化。

e_search_dic_map

對關鍵字（查詢字符串）以及其匹配的值的字典數據進行映射。

e_search_table_map

對某列（查詢字符串）以及其匹配的值的表格數據進行映射。