想要将syslog中某些可能为空的字段设置一个默认值，但一直不成功

[shihunshi]

按以下配置测试一下并给出结果

filters:

• Grok: src: message match:

  • '\sfromhost:\s(?P\S+)\s(?P\S+)\s|\s(?P.)'

• Json: field: json

  使用 !Exist 检查字段不存在的情况

• Add: if:

  • "!Exist(client) || client == ''" fields: client: "N/A"

• Add: if:

  • "!Exist(attack_type) || attack_type == ''" fields: attack_type: "N/A"

期望某些可能为空的字段给予一个默认值，但是一直不成功，输出会将想要的字段全部设置为N/A。而不是只将为空的时候设置为N/A

[shihunshi]

使用这个对比方式成功解决：- 'EQ(client,"")'