背景：
ai引擎检测到的攻击数据会写入kafka，然后通过logstash采集到es，提供给安全人员做人工评判。因为攻击可能重复出现，所以我们希望攻击（url）中只出现一次。并且安全人员需要在攻击的基础上添加评论和判断结果（ai判断的攻击有可能是假的 有可能是真的，所以需要操作这个索引）
期望：
我们希望攻击第一次出现的时候写入es中，当后续再次出现相同攻击的时候，我们以url作为索引id，对之前的数据进行覆盖，保证一个攻击只出现一次。并且保证党安全人员对该条文档操作的时候，结果字段和评论字段保留不覆盖，其他字段可以覆盖
操作：
确定的一件事是把url作为索引中唯一的标识，保证索引唯一
如下
对于es来说id重复的话，之前的会被覆盖，整个流程是先根据id删除之前的 ，然后在新增一条新数据，这样的后果是如果安全人员在该条日志上做了评论，则重复的id会把评论字段覆盖掉。所以需要解决如下问题。
尝试一：
elasticsearch {
hosts => ["127.0.0.1:9201","127.0.0.1:9202","127.0.0.1:9203","127.0.0.1:9204"]
index => "http_attack_detection"
document_id => "%{id}"
action => "update"
}
输出中有个action字段，action的可选值为index，create，update，detele。默认为index。当时选择了update，但是发现采用update的时候会出现这种情况：
如果id存在，则覆盖，如果id不存在，则打印一条错误日志（不会影响logstash的运行）
这样的话实际上还是会覆盖，不能满足我们的要求
action
Value type is string
Default value is "index"
Protocol agnostic (i.e. non-http, non-java specific) configs go here Protocol agnostic methods The Elasticsearch action to perform. Valid actions are:
index: indexes a document (an event from Logstash).
delete: deletes a document by id (An id is required for this action)
create: indexes a document, fails if a document by that id already exists in the index.
update: updates a document by id. Update has a special case where you can upsert — update a document if not already present. See the upsert option. NOTE: This does not work and is not supported in Elasticsearch 1.x. Please upgrade to ES 2.x or greater to use this feature with Logstash!
尝试二：
elasticsearch的输出中添加doc_as_upsert => true
但是尝试之后发现
当id存在的时候会覆盖，当id不存的时候会新增，这样也不满足我们的需求。所以这种方法也不适合
尝试三：
我们不采用覆盖的方式，如果之前_id存在的话，直接抛弃掉新数据。这样的话评论之类的数据不会被覆盖。如果_id不存在的话 直接新增。
解决方案是把尝试一中的action由update改为create
这个方法解决了我们的问题
参考：https://www.elastic.co/guide/en/logstash/current/plugins-outputs-elasticsearch.html#plugins-outputs-elasticsearch-doc_as_upsert
