百度一搜索logstash都是别人写好的nginx字段过滤，但是自己在使用的时候想过滤别的数据，匹配一个都可以，但是匹配多个有时候就会不好用，这个问题我就在长时间的摸索中发现，grok在匹配多个的时候要进行整段的匹配，下面还是以日期和时间为例。
目前所有单独匹配都是可以匹配上的，下面我们再来试一下匹配为两个字段
匹配两个字段也是没问题的，但是我们再在原数据上加点东西匹配就是失败
这时候大家应该注意到了，grok进行多字段匹配时要从左到右都进行匹配才行，把需要匹配的写在(?<>)定义的字段内，不需要的写在字段外即可。
这样就可以进行多字段匹配，需要注意的是就算是空格都要精准的匹配到如果空格很多可以用\s去进行匹配
