drop过滤器插件中的remove_field和mutate过滤器插件中remove_field之间的差异

Question

我想知道这个之间有什么区别

filter {
drop {
remove_field => ["some_field"]
}
}

和这个

filter {
mutate {
remove_field => ["some_field"]
}
}

阅读文档时，似乎在说同样的话？

下降过滤器：https://www.elastic.co/guide/en/logstash/current/plugins-filters-drop.html#plugins-filters-drop-remove_field。

变异过滤器：https://www.elastic.co/guide/en/logstash/current/plugins-filters-mutate.html#plugins-过滤器-突变移动字段

我注意到，如果我在配置中用drop替换mutate，我的整个事件就会下降，remove_field选项似乎不会做任何额外的事情。。。我在这里错过了什么？

Answer 1

丢弃过滤器停止处理事件，并且不会将其发送到您的输出。这似乎就是你使用它时看到的。

变异过滤器允许您对事件执行某些修改，包括删除您所看到的各个字段。

两个不同的过滤器用于两种不同的用例。

此外，remove_field选项在任何过滤器插件中始终可用，作为通用选项的一部分。它解释了为什么该选项出现在drop filter中，即使在这里设置它没有多大意义。