logstash grok match 对等于号，和中括号做筛选

input {
   syslog{
    port=>514
   }
}
filter {
     grok{
         match=>{
             "message"=>"(?<AAAAFENG>(?<=TYPE=[Sys)(.{1}))"
          }     
     }
     if[AAAAFENG]=="1"{
         mutate {
            add_field => { "learner_type" => "course" }
            update=>{"AAAAFENG"=>'SysLOG'}
        }
     }
}
output {
    stdout{
    codec => rubydebug  
    }
}

测试，练习匹配新字段，然后根据新字段进行判断。

最坑的是等于号，不需要转义，直接使用，中括号[需要转义转换成[使用。