ELK6.2.3 nginx acess日志分析,url部分取不出来

  grok {
        match => { "message" => ["%{IPORHOST:[nginx][access][remote_ip]} - %{DATA:[nginx][access][user_name]} \[%{HTTPDATE:[nginx][access][time]}\] \"%{WORD:[nginx][access][method]} %{DATA:[nginx][access][url]} HTTP/%{NUMBER:[nginx][access][http_version]}\" %{NUMBER:[nginx][access][response_code]} %{NUMBER:[nginx][access][body_sent][bytes]} \"%{DATA:[nginx][access][referrer]}\" \"%{DATA:[nginx][access][agent]}\""] }
      }
      mutate {
        add_field => { "read_timestamp" => "%{@timestamp}" }
      }
      date {
        match => [ "[nginx][access][time]", "dd/MMM/YYYY:H:m:s Z" ]
        remove_field => "[nginx][access][time]"
      }
      useragent {
        source => "[nginx][access][agent]"
        target => "[nginx][access][user_agent]"
        remove_field => "[nginx][access][agent]"
      }

     kv {
      source => "[nginx][access][url]"
      prefix => "url_"
      value_split => "="
      field_split => "&?"
     }
 

想把[nginx][access][url] 前面的部分 类似 /www/app?testid=110&t=1524478227973的  /www/app这部分取出来. 各种求大神解决啊,差了N多文档  官方文档ruby部分也是简单的很 实在搞不定啊