regexp вытащить строку после ключевого слова

Есть лог, такого вот формата [09.08.16 16:52:55] LOGLEVEl MESSAGE Нужно распарсить его в одной строке на составные части, т.е. дата, логлевел и сообщение

И на кой хрен для этого регулярные выражения?

А теперь давай ты прочитаешь описание разметки LORCODE (ссылка прямо под полем ввода сообщения) и перепишешь свою нечитабельную словесную кашу с помощью переводов строк и тегов [code]..[/code], хорошо?

Ну необходима возможность сортировать и строить дашборды по дате, логлевлу, и желательно получать только «чистое» сообщение лога. Если подскажете, как сделать без регулярок, буду благодарен

Как и чем ты раздолбил лог на отдельные строки?

Раздолбил регэкспами вот этими

 DATE (\d{2}\.\d{2}\.\d{2})
TIME (\d{2}:\d{2}:\d{2})
LOGLEVEL (TRACE|DEBUG|NOTICE|INFO|WARN?(?:ING)?|ERR?(?:OR)?|CRIT?(?:ICAL)?|FATAL|SEVERE|EMERG)
LOGMESSAGE ((TRACE|DEBUG|NOTICE|INFO|WARN?(?:ING)?|ERR?(?:OR)?|CRIT?(?:ICAL)?|FATAL|SEVERE|EMERG))(.*?)(\n|$) [/]code

Спрошу еще раз — на отдельные строки, а не одну строку на целевые поля.

Сам лог файл пишется построчно из приложения, т.е в конце строки \n стоит. Строчки лога, долбил только на целевые поля.

Ты про cut ему намекнуть пытаешься?

Ок. На чем долбил на поля? Я не знаючто за логсташ, там есть регексп? Сам регексп я тебе напишу быстро, но тут важно для какой шляпы его писать, может быть разница.

Ну на от балды, может не взлететь:

/^\[
(?P<DATE>\d{2}\.\d{2}\.\d{2})
\s+
(?P<TIME>\d{2}:\d{2}:\d{2})
\]\s+
(?P<LOGLEVEL>TRACE|DEBUG|NOTICE|INFO|WARN|WARNING|ERR|ERROR|CRIT|CRITICAL|FATAL|SEVERE|EMERG)
\s+
(?P<LOGMESSAGE>.*)
$/su

Переводы строк убрать, это одна спагеттина.

Долбил grok'ом (анализатор текста) который встроен в logstash, поддерживает регэкспы. Спасибо за регулярку, примерно понял, что надо поправить, буду пробовать.

Если подскажете, как сделать без регулярок, буду благодарен

Вы, например, не видите, что здесь имеют место четыре поля, разделенные пробелами?

$ line='[09.08.16 16:52:55] LOGLEVEl MESSAGE'
$ read date time loglevel message <<< "$line"
$ date=${date#[}
$ time=${time%]}
$ printf 'datetime: «%s %s» loglevel: %s LOGMESSAGE: %s\n' "$date" "$time" "$loglevel" "$message"
datetime: «09.08.16 16:52:55» loglevel: LOGLEVEl LOGMESSAGE: MESSAGE

Или, что мне кажется чуть более аккуратным, то сперва строка фиксированной длинны, а затем два поля, разделенные пробелом:

$ datetime=${line:1:17}
$ read loglevel message <<< "${line:19}"
$ printf 'datetime: «%s» loglevel: %s LOGMESSAGE: %s\n' "$datetime" "$loglevel" "$message"
datetime: «09.08.16 16:52:55» loglevel: LOGLEVEl LOGMESSAGE: MESSAGE

Пиши лог сразу в нормальном формате, чтобы потом не изобретать его разбор.

ребята которые написали сервис, не очень заморачивались по поводу логформата

Так как успехи? У вас еще остались вопросы?

Лучше поздно чем никогда В итоге вышло для грока

FULL_LOG %{WORKER:worker} #\d+	\[%{DATETIME_PR:timestamp}\] %{LOGLEVEL:loglevel}: %{GREEDYDATA:_message}

где

GREEDYDATA .*