在可观测性数据采集与处理领域，Grafana Alloy 正凭借其灵活的数据管道和强大的处理能力，成为许多运维团队的首选工具。然而，在实际使用中，不少用户会遇到一个看似简单却颇为头疼的问题：当采集日志文件或系统事件时，Alloy 默认会记录文件的完整路径（例如 /var/log/nginx/access.log），但在后续的告警、过滤或图表展示中，我们往往只需要文件名（例如 access.log）即可。冗长的路径不仅增加了数据存储开销，还让日志分析界面变得杂乱无章。那么，如何精准地“告诉”Grafana Alloy 只提取文件名呢？本文将为你提供一套清晰的解决方案。

为什么需要提取文件名？

先看一个典型场景：假设你通过 Alloy 的 local.file_match 组件监控多个 Web 服务器的日志目录，每个目录下有成百上千个日志文件。如果 Alloy 在每条日志记录中都附带完整的 filepath 字段，那么你不仅需要多消耗磁盘空间来存储这些冗余信息，而且在 Grafana 中做聚合查询时，/var/log/nginx/access.log 和 /var/log/apache2/access.log 虽然是不同服务的日志，却因为文件名相同而产生混淆。反之，只保留文件名 access.log，再配合其他标签（如 host、service）进行区分，就能让数据既简洁又清晰。

核心思路：使用 stage.regex 进行字段提取

Grafana Alloy 的处理逻辑基于阶段（stage）管道，其中 stage.regex 是处理字符串的利器。它的工作原理是：对指定的字段应用正则表达式，捕获匹配的子串，并将结果写入一个新字段或覆盖原有字段。要实现“文件名提取”，只需要编写一条能匹配路径末尾文件名的正则表达式即可。

示例配置

假设 Alloy 接收到的日志数据中，包含一个名为 filepath 的字段，其值为 /var/log/nginx/access.log。我们可以这样配置处理管道：

// 首先，假设已经通过 local.file_match 或 loki.source.file 获取了日志
stage.regex {
    expression = ".*/(?P<filename>[^/]+)$"
    source     = "filepath"
    output     = "filename"
}

让我们分解一下这个正则表达式：

  • .*/：匹配任意字符直到最后一个斜杠（即路径中的目录部分）。
  • (?P<filename>[^/]+)$：命名捕获组 filename，匹配一个或多个非斜杠字符，直到字符串结尾。这正是我们需要的文件名。

执行此阶段后，Alloy 会为每条日志新增一个 filename 字段，其值为 access.log。如果你希望直接用文件名覆盖原来的 filepath 字段，只需将 output 的值改为 "filepath" 即可。

更复杂的场景：处理多个路径格式

实际环境中，日志文件的路径可能包含 Windows 反斜杠（\），或者文件名本身包含特殊字符。为了让正则表达式更具普适性，可以稍作调整：

stage.regex {
    expression = ".*[\\\\/](?P<filename>[^\\\\/]+)$"
    source     = "filepath"
    output     = "filename"
}

[\\\\/] 表示匹配一个反斜杠或正斜杠（注意 HCL 中的转义）。这样无论是 Linux 的 /var/log/app.log 还是 Windows 的 C:\logs\app.log，都能正确提取文件名。

进阶技巧：使用 stage.custom 自定义处理

如果正则表达式无法满足你的复杂需求（例如需要根据文件扩展名动态处理），Alloy 还提供了 stage.custom 阶段，允许嵌入 Lua 脚本进行任意字符串操作。以下是一个移除文件扩展名的 Lua 示例：

stage.custom {
    module = """
    function process(entry)
        local filepath = entry["filepath"]
        if filepath then
            -- 提取文件名（包括扩展名）
            local filename = filepath:match("[^/]+$")
            -- 如果想去掉扩展名，比如将 access.log 变为 access
            local basename = filename:match("(.+)%.")
            entry["filename"] = basename or filename
        end
        return entry
    end
    """
}

这种方法的灵活性极高，但需要谨慎编写 Lua 代码，避免性能瓶颈。

注意事项

  1. 确保字段存在：在应用 stage.regex 之前，最好先检查待处理的字段是否为空。可以结合 stage.drop 或条件判断来过滤无效行。
  2. 调试正则：Alloy 内置了 process 子命令用于本地测试配置。运行 alloy run --config.file=config.alloy 后，使用 alloy logs 查看处理后的标签变化。
  3. 性能考虑：正则表达式过于复杂会影响采集效率。如果路径格式固定，简单的字符串截取（如 stage.split）可能更快。例如：stage.split { source = "filepath", separator = "/", keep = -1 }。

结语

通过灵活运用 stage.regex 或自定义处理阶段，Grafana Alloy 可以轻松地从完整文件路径中“剥离”出文件名，让可观测性数据更加整洁、高效。这是一个小技巧，却能在日常监控中大大提升数据治理的便利性。如果你正在搭建 Alloy 管道，不妨立刻实践一下，看看那些冗长的路径如何瞬间变得清爽起来。