Logstash 中如何处理 Tab（制表符）分隔的 CSV 数据？

关键点：在 Logstash 的 csv filter 中，默认 config.support_escapes: false 时，separator => "\t" 不会把 \t 解释成制表符；启用该设置后双引号字符串中的转义可生效。正确做法是在引号之间输入一个真实的 Tab 字符**。**

正确写法

input {
  file {
    path => "/var/data/*.csv"
    type => "test_data"
    start_position => "beginning"
  }
}

filter {
  csv {
    separator => "	"   # 引号内是真实 U+0009 Tab，不是空格
  }
}

错误写法

filter {
  csv {
    separator => "\t"   # 默认 support_escapes=false 时不是制表符
  }
}

默认关闭转义支持时，这样写 Logstash 会把 \t 当作两个普通字符（反斜杠和 t），导致整行无法正确切分，字段全部挤在一起。

实用建议

1. 编辑器注意：很多编辑器会把 Tab 自动转成空格，保存前确认输入的是真 Tab（可开启显示不可见字符）。
2. 用 sincedb 测试：测试时加 sincedb_path => "/dev/null" 和 start_position => "beginning"，可在每次进程重启时重新读取；运行中的内存偏移仍存在，/dev/null 也仅适用于对应平台测试。
3. 验证结果：先用 output { stdout { codec => rubydebug } } 看字段是否被正确切分，再接正式 output。

常见问题（FAQ）

Q：除了 csv 插件还能怎么切 Tab 分隔的日志？
A：可以用 dissect 或 grok 配合 \t（grok 的正则里 \t 是有效的）解析，dissect 和 mutate split 的字面分隔符同样受配置转义影响，应使用实际 Tab 或启用 support_escapes；grok 的正则转义属于另一层，不能把它的规则套到所有插件。

Q：字段里有引号包裹的值怎么办？
A：csv 插件支持 quote_char 参数（默认 "），会自动处理带引号的字段。

Q：列名在哪指定？
A：用 columns => ["col1", "col2", ...] 显式指定列名，否则自动生成 column1、column2 这样的名字；若文件首行是表头，加 autodetect_column_names => true，并将 pipeline.workers 设为 1；还需按要求配置跳过表头，多个文件共用模式需验证。