支持情况与总体说明
在 Ubuntu 上，Filebeat 支持通过 Go 语言编写的自定义插件，常见类型包括用于事件处理的 Processor 和用于发送事件的 Output。这些插件以动态库（.so）形式在运行时加载，适用于 x86_64 等主流架构。需要注意的是，插件与操作系统和 Filebeat 版本强绑定，通常需要在目标环境编译，且不建议跨平台使用。
快速实现步骤
- 准备环境：安装 build-essential、git、golang，并拉取 beats 源码（建议选择与你安装的 Filebeat 一致的 8.x 稳定分支）。设置 Go 代理（如 goproxy.cn）以加速依赖下载。
- 开发插件：在 libbeat/processors 下创建插件目录与代码，实现 init（注册插件名）与 Run（处理 *beat.Event）方法；输出插件则在 libbeat/output 下实现 Output 接口的 Write/Close 方法并注册。
- 编译插件：在插件目录执行 go build -buildmode=plugin -o your_plugin.so，生成 Linux 动态库。
- 配置使用：在 /etc/filebeat/filebeat.yml 的 processors 中使用插件名（如 your_plugin），或在启动命令中通过 --plugin 指定 .so 文件路径。
- 验证与运行：执行 filebeat test config 校验配置，使用 systemctl restart filebeat 重启服务，并通过 journalctl -u filebeat -f 或 filebeat -e -c 查看加载与运行日志。
示例与配置
- 示例（处理器插件，10% 采样）：在 Run 中对事件计数，按 1/10 概率返回事件、其余返回 nil 丢弃，实现轻量采样。插件名需与配置中的名称一致。
- 配置片段：
filebeat.inputs:
- type: log
enabled: true
paths:
- /var/log/syslog
processors:
- my_scale_processor:
output.elasticsearch:
hosts: [“localhost:9200”]
- 启动方式：可直接运行 filebeat -e -c /etc/filebeat/filebeat.yml -plugin ./my_scale_processor.so（如有多个插件，可多次使用 --plugin）。
注意事项与替代方案
- 版本与依赖一致性：插件的 Go 版本 与 Filebeat/beats 版本需匹配（参考源码 go.mod）；插件与编译/运行环境强绑定，跨平台 .so 可能无法加载。
- 加载路径与方式：可通过配置文件 processors 使用插件名，或在命令行用 –plugin 显式加载 .so；若加载失败，使用 filebeat -e -c 查看详细错误。
- 运维复杂度：自定义插件需要维护额外的 Go 代码与编译流程，升级 Filebeat 时可能需要同步升级与回归测试。
- 替代方案：若不需要开发插件，优先使用内置 processors（如 add_fields、drop_fields、mutate 等）或官方模块实现常见处理逻辑，配置简单、稳定性更好。