logstash grok match 對等於號，和中括號做篩選

input {
   syslog{
    port=>514
   }
}
filter {
     grok{
         match=>{
             "message"=>"(?<AAAAFENG>(?<=TYPE=\[Sys)(.{1}))"
          }     
     }
     if[AAAAFENG]=="1"{
         mutate {
            add_field => { "learner_type" => "course" }
            update=>{"AAAAFENG"=>'SysLOG'}
        }
     }
}
output {
    stdout{
    codec => rubydebug  
    }
}

測試，練習匹配新字段，然后根據新字段進行判斷。

最坑的是等於號，不需要轉義，直接使用，中括號[需要轉義轉換成\[使用。

 ps:當前版本是6.2.4版本