在什么场景下应该选择iLogtail SPL而不是Logstash？

以下场景推荐选择iLogtail SPL：

1. 资源受限环境：iLogtail内存占用仅40-50MB（Logstash需900MB+），对资源敏感的容器化、边缘计算环境更为适合。

2. 高吞吐低延迟需求：iLogtail SPL处理能力是Logstash的6倍以上，且几乎无采集延迟。实时性要求高的监控、告警场景应选择iLogtail。

3. Kubernetes云原生环境：Logstash本身不支持采集K8s场景下的日志，需要额外配合Filebeat。iLogtail原生支持K8s容器日志采集。

4. 复杂JSON处理：iLogtail SPL原生支持JsonPath嵌套解析，Logstash需要Ruby代码变通。

5. 成本敏感场景：iLogtail资源消耗仅为Logstash的5%，大规模部署时可显著降低基础设施成本。

6. 运维简化需求：SPL语法简洁统一，实时预览调试方便，相比Logstash的多插件配置管理更高效。

Logstash优势在于其成熟的生态和丰富的第三方插件（49种filter），以及支持用户用Ruby/Java自定义插件的可扩展性。