Logstash 能删除日志中的 message 字段吗？
可以——用 mutate 过滤器的 remove_field 删除 message 字段：mutate { remove_field => ["message"] }。结构化解析成功后删除冗余 message 可能减少 ES 存储，实际幅度需验证。本文给出配置与注意事项。
可以。mutate { remove_field => ["message"] } 一行即可——典型场景是 grok/json 解析后，原始 message 已成冗余，删掉它可能减少 ES 索引体积，幅度需实测，且不会修改已索引的历史文档。
配置示例
filter {
grok {
match => { "message" => "%{COMBINEDAPACHELOG}" }
remove_field => ["message"] # 仅该 grok 解析成功时删掉原文
}
}
什么时候该删、什么时候保留
- 删：message 已完整解析成结构化字段，原文没有额外信息；
- 留：解析可能失败（保留原文兜底）、审计合规要求保留原始日志。
折中方案：对确定已经过此 grok 且保留默认失败标签的事件，排除失败和超时后再删除——
if "_grokparsefailure" not in [tags] and "_groktimeout" not in [tags] {
mutate { remove_field => ["message"] }
}
常见问题（FAQ）
Q：删了 message 全文检索还能用吗？ 取决于剩余字段是否入索引——保留关键字段的 text 映射即可。
Q：能省多少存储？ 取决于原文长度、剩余字段和索引设置。用同批日志对比处理前后的索引大小，避免只按 message 字节数推算。
