我发送给系统日志的消息有一些标签，如下所示：
"[date] [text here] tags:tag1,tag2,tag3 [more text here]" 我已经有一个规则，只保存包含“tags：”文本的行到一个特定的文件。
如果该文件仅包含该消息的子string，在这种情况下只是date和标签部分，那将是非常好的。
rsyslog可以在保存之前对消息做一些处理/操作吗？
提前致谢。
是的，它可以。 查找信息的地方在属性替代品的rsyslog文档中 。 如果标签列表的长度始终相同，则可以使用子string。 否则，你将需要使用正则expression式，例如
％MSG：R :. （标签：[\ S] +）。 – 结束％