请说明 Logstash 在数据处理流程中执行过滤的机制，并列举几个常见的过滤插件及其用途。

回答思路

1. 【回答框架 1】Logstash 的数据处理流水线由输入、过滤、输出三个阶段组成，过滤阶段位于输入之后、输出之前，用于对事件数据进行解析、转换、丰富和清洗。过滤插件以插件形式运行，每个事件依次通过配置的过滤器链，插件可修改事件字段、添加或删除字段、根据条件分支处理。
2. 【回答框架 2】常用过滤插件包括 grok、mutate、date、geoip、useragent、dissect、kv、json 等。grok 基于正则表达式模式将非结构化文本解析为结构化字段，是处理日志最常用的插件；mutate 用于重命名、删除、复制、替换字段或转换数据类型；date 用于解析日期字段并替换事件的 @timestamp 字段。
3. 【回答框架 3】geoip 根据 IP 地址添加地理位置信息，useragent 解析用户代理字符串提取浏览器、操作系统等字段，dissect 通过固定分隔符快速提取字段，kv 按键值对格式解析字段，json 将 JSON 字符串解析为结构化字段。
4. 【回答框架 4】选择过滤插件时需考虑数据格式、解析性能与维护成本，grok 灵活但正则性能开销较大，dissect 更快但依赖固定分隔符，实际场景常组合使用多个插件完成完整的数据清洗。
5. 【回答框架 5】过滤阶段不改变事件数量，只修改事件内容，输出阶段再将处理后的事件发送到目标存储或系统。
6. 【关键点 1】Logstash 过滤阶段位于输入与输出之间，通过插件链处理每个事件。
7. 【关键点 2】grok 用正则模式解析非结构化文本，是日志解析的核心插件。
8. 【关键点 3】mutate 支持字段重命名、删除、类型转换等常见操作。
9. 【关键点 4】date 插件可解析时间字段并覆盖 @timestamp。
10. 【关键点 5】geoip、useragent、dissect、kv、json 等插件分别处理特定格式数据。
11. 【易错点 1】不要认为过滤阶段会减少事件数量，它只修改事件内容。
12. 【易错点 2】grok 正则性能开销大，高吞吐场景需谨慎使用或改用 dissect。
13. 【易错点 3】不同插件处理顺序会影响结果，需按依赖关系配置过滤器链。