1.3 配置语法
Logstash社区通常习惯用Shipper、Broker和Indexer来描述数据流中不同进程各自的角色，如图1-2所示。
不过我见过很多运用场景里都没有用Logstash作为Shipper，或者说没有用Elasticsearch作为数据存储，也就是说也没有Indexer。所以，我们其实不需要这些概念。只需要学好怎么使用和配置Logstash进程，然后把它运用到你的日志管理架构中最合适它的位置就够了。
1.3.1 语法
Logstash设计了自己的DSL，有点像Puppet的DSL，或许因为都是用Ruby语言写的吧，区域、注释、数据类型（布尔值、字符串数值、数组、哈希）都类似，条件判断、字段引用等也一样。
1.区段（section）
Logstash用{}来定义区域。区域内可以包括插件区域定义，你可以在一个区域内定义多个插件。插件区域内则可以定义键值对设置。示例如下：
input {
stdin {}
syslog {}
}
2.数据类型
Logstash支持少量的数据值类型：
希尔值（bool）
debug => true
字符串（string）
host
=>"hostname"
数值（number）
port => 514
数组（array）
match =>
["datetime", "UNIX", "ISO8601"]
哈希（hash）
options => {
key1 =>"value1",
key2 =>"value2"
}
如果你用的版本低于1.2.0，哈希的语法跟数组是一样的，像下面这样写：
match => [
"field1", "pattern1", "field2",
"pattern2" ]
3.字段引用（field reference）
字段是 Logstash::Event对象的属性。我们之前提过事件就像一个哈希一样，所以你可以想象字段就像一个键值对。
如果你想在Logstash配置中使用字段的值，只需把字段的名字写在中括号[ ]里就行了，这就叫“字段引用”。
对于“嵌套字段”（也就是多维哈希表，或者叫哈希的哈希），每层的字段名都写在[ ]里就可以了。比如，你可以从geoip里这样获取longitude值（是的，这是个笨办法，实际上有单独的字段专门存这个数据的）：
[geoip][location][0]
Logstash的数组也支持倒序下标，即[geoip][location][-1]可以获取数组最后一个元素的值。
Logstash还支持变量内插，在字符串里使用字段引用的方法是这样：
"the
longitude is %{[geoip][location][0]}"
4.条件判断（condition）
Logstash从1.3.0版开始支持条件判断和表达式。
表达式支持下面这些操作符：
"equality, etc: ==, !=, <, >,
<=, >=
"regexp: =~, !~
"inclusion: in, not in
"boolean: and, or, nand, xor
"unary: !()
通常来说，你都会在表达式里用到字段引用。比如：
if "_grokparsefailure"
not in [tags] {
} else if
[status] !~ /^2\d\d/ and [url] == "/noc.gif" {
} else {
}
1.3.2 命令行参数
Logstash提供了一个shell脚本叫logstash方便快速运行，下面介绍它支持的参数：
1. -e
意即“执行”。我们在“Hello World”的时候已经用过这个参数了。事实上你可以不写任何具体配置，直接运行bin/logstash -e ''可达到相同效果。这个参数的默认值是下面这样：
input {
stdin { }
}
output {
stdout { }
}
2. --config或-f
意即“文件”。真实运用中，我们会写很长的配置，甚至可能超过shell所能支持的1024个字符长度。所以我们必把配置固化到文件里，然后通过bin/logstash -f
agent.conf这样的形式来运行。
此外，Logstash还提供一个方便我们规划和书写配置的小功能。你可以直接用bin/logstash -f /etc/logstash.d/来运行。Logstash会自动读取/etc/logstash.d/目录下所有的文本文件，然后在自己内存里拼接成一个完整的大配置文件，再去执行。
Logstash列出目录下所有文件时是字母排序的。而Logstash配置段的filter和 output都是顺序执行的，所以顺序非常重要。采用多文件管理的用户，推荐采用数字编号方式命名配置文件，同时在配置中严谨采用if判断限定不同日志的动作。
3. --configtest或-t
意即“测试”。用来测试Logstash读取到的配置文件语法是否能正常解析。Logstash配置语法是用grammar.treetop定义的。尤其是使用了上一条提到的读取目录方式的读者，尤其要提前测试。
4. --log或-l
意即“日志”。Logstash默认输出日志到标准错误。生产环境下你可以通过bin/logstash -l logs/logstash.log命令来统一存储日志。
5.
--pipeline-workers 或 -w
运行filter和output的pipeline线程数量，默认是CPU核数。
6.
--pipeline-batch-size 或 -b
每个Logstash pipeline线程，在执行具体的filter和output函数之前，最多能累积的日志条数，默认是125条。越大性能越好，同样也会消耗越多的JVM内存。
7.
--pipeline-batch-delay 或 -u
每个Logstash pipeline线程，在打包批量日志的时候，最多等待几毫秒，默认是5 ms。
8. --pluginpath或-P
可以写自己的插件，然后用bin/logstash --pluginpath /path/to/own/plugins加载它们。
如果你使用的Logstash版本在1.5.0-rc3到1.5.3之间，该参数一度被取消，请改用本地gem插件安装形式。
9. --verbose
输出一定的调试日志。如果你使用的Logstash版本低于1.3.0，则用bin/logstash -v来代替。
10. --debug
输出更多的调试日志。如果你使用的Logstash版本低于1.3.0，则用bin/logstash
-vv来代替。
1.3.3 设置文件示例
从Logstash 5.0开始，新增了$LS_HOME/config/logstash.yml文件，可以将所有的命令行参数都通过YAML文件方式设置。同时为了反映命令行配置参数的层级关系，参数也都改成用.而不用-了。
上小节的pipeline相关命令行参数，改用 YAML 文件的写法如下：
pipeline:
workers: 24
batch:
size: 125
delay: 5