Logstash需安装logstash-filter-xml插件解析XML，配置xpath映射字段并设store_xml=>false；处理重复节点需force_array与split配合；数值和时间字段须类型转换与date过滤；输出前应清洗编码、命名空间及转义字符。
Logstash 本身不直接内置 XML 过滤器，但可通过 logstash-filter-xml 插件解析 XML 数据。要将 XML 数据导入 Elasticsearch，关键在于：先用 Logstash 正确解析 XML 结构，再将字段映射为 JSON 格式写入 Elasticsearch。
安装 XML 过滤器插件
Logstash 默认不包含 XML 解析能力，需手动安装官方插件：
- 运行命令：
bin/logstash-plugin install logstash-filter-xml - 安装后重启 Logstash（若已运行）
- 确认安装成功：执行
bin/logstash-plugin list | grep xml应输出logstash-filter-xml
配置 Logstash pipeline 解析 XML
XML 过滤器要求输入是字符串格式的完整 XML（如来自 file、http、kafka 或 beats 输入），且需指定目标字段和 XPath 映射规则。常见配置示例：
filter {
xml {
source => "message" # 指定含 XML 内容的字段名（如 file 输入的默认字段）
target => "parsed_xml" # 解析结果存入新字段
store_xml => false # 设为 false 可避免嵌套 XML 字符串，推荐
xpath => [
"/root/entry/title/text()", "title",
"/root/entry/content/text()", "content",
"/root/entry/@id", "entry_id",
"/root/entry/time/@iso", "timestamp"
]
}
# 若需时间字段用于 @timestamp，可转换
date {
match => ["timestamp", "ISO8601"]
target => "@timestamp"
}
}注意：store_xml => false 是关键，否则会把整个 XML 当字符串塞进字段；xpath 数组中每对值分别是 XPath 表达式和对应输出字段名。
处理嵌套与重复节点（如多个 - ）
当 XML 含多个同级节点（如 RSS 中多个 xml 插件的 force_array 和后续 split 处理：
- 设置
force_array => ["item"]确保 item 始终为数组 - 用
split拆分数组字段（如split { field => "[parsed_xml][item]" }） - 再对每个 item 单独用
xml或mutate + rename提取子字段
输出到 Elasticsearch 的注意事项
确保解析后的字段类型适配 Elasticsearch mapping：
- 数值字段（如 ID、count）建议在 Logstash 中用
mutate { convert => { "entry_id" => "integer" } }转换类型 - 时间字段务必用
date过滤器生成@timestamp，否则 ES 默认用摄入时间 - 避免字段名含点号（.）或大写字母，ES 7.x+ 对字段名更严格；可用
mutate { rename => { "old.name" => "old_name" } }
输出配置示例：
output {
elasticsearch {
hosts => ["http://localhost:9200"]
index => "xml-logs-%{+YYYY.MM.dd}"
}
}不复杂但容易忽略：XML 编码（如 UTF-8 带 BOM）、命名空间（namespace）和转义字符（& → &）会影响 XPath 匹配，必要时先用 mutate { gsub => [...] } 清洗原始内容。
