Decoders, de la línea a los campos

Un decoder padre reconoce la familia de la línea, normalmente por el nombre del programa de la cabecera (program_name) o por un patrón inicial (prematch). Un decoder hijo declara quién es su padre con parent, y solo se prueba si el padre ya coincidió. El hijo lleva una expresión regex con grupos entre paréntesis y una etiqueta order con los nombres de los campos, en el mismo orden que los grupos.

Esta estructura ahorra trabajo: el padre descarta rápido todo lo que no es de su programa y los hijos distinguen los formatos de mensaje dentro de la familia. Los decoders propios se guardan en el archivo local de decoders del servidor, aparte de los del conjunto original.

Abre decoders_locales. Cada fila trae el nombre del decoder, su padre, la condición con la que reconoce la línea, la expresión y los nombres de campo. El decoder de la fila sin padre es la raíz de la familia.

La tabla resultado_de_logtest muestra lo que sale de la fase de decodificación de cada línea: el decoder que coincidió y los campos con su valor. Es la misma vista que da la herramienta de prueba de decoders y reglas del servidor, y es la forma correcta de comprobar un decoder antes de ponerlo en producción: se pasa una línea de muestra y se leen los campos, sin generar tráfico.

Localiza la línea L-05, de otro servidor, y lee el origen que se extrajo de ella.

Cuando el padre coincide pero ningún hijo lo hace, la línea queda decodificada a medias: el servidor sabe de qué programa es, pero no tiene campos. Una regla que dependa de srcuser o de srcip nunca va a disparar con esa línea. Por eso, mirar los campos de cada línea es una comprobación obligatoria y mirar solo el nombre del decoder no basta.

Compara las líneas crudas con el resultado de la prueba y encuentra la que quedó sin campos.

Compara en lineas_crudas la línea que falló con L-02, que sí se decodificó, y con la expresión del decoder venta-login-fallido en decoders_locales. Las dos líneas dicen lo mismo y la expresión espera el usuario entre un tipo concreto de comillas.