datadog日志处理：如何取消嵌套的json

Question

我正在向 datadog 发送 json 格式的日志消息：

  "Headers": {
    "Content-Type": [
      "application/json"
    ]
  },
  "Method": "POST",
  "Body": "{\"test\": 1234, \"test2\": {\"test3\": 1245}}",
  "URL": "https://test",
  "Host": "test",
  "UserAgent": ""
}

问题出在字段

Body

。我希望 datadog 将其作为 json 拾取，以便对其进行解析。因此，我正在研究日志管道，特别是

grok

处理器来预处理日志消息并转义

Body

字段。

%{data::json}

作为解析规则有效，但不会转义 Body。我尝试过类似的东西：

%{data::json{source => "Body" target => "Body"}}

但是datadog将该规则标记为无效。

1. 有没有更好的方法来实现datadog中的转义？
2. 如何为 datadog 创建一个有效的 grok 规则来转义 Body 字段？

Answer 1

尝试使用以下 F=F

%{data::json}