将自定义字段添加到splunk查询
Splunk是一种用于实时监控、搜索、分析和可视化大规模机器生成的数据的平台。它可以帮助企业从各种数据源中提取有价值的信息，并支持用户进行数据分析和决策制定。
在Splunk中，可以通过添加自定义字段来扩展查询功能。自定义字段是用户根据特定需求定义的新字段，可以根据已有的数据或通过计算生成。通过添加自定义字段，可以更好地理解和分析数据，提供更深入的洞察力。
添加自定义字段的步骤如下：
- 在Splunk的搜索界面中，使用搜索语句过滤出需要添加自定义字段的数据集。
- 使用Splunk的搜索语言（SPL）编写一个计算表达式，该表达式将根据已有的字段值或其他计算逻辑生成新的字段值。例如，可以使用条件语句、数学运算、字符串操作等来定义计算逻辑。
- 使用Splunk的“eval”命令将计算表达式应用到搜索结果中，生成新的字段。
- 可以选择将新字段添加到现有的搜索结果表格中，或者创建一个新的字段列表。
自定义字段的添加可以带来以下优势：
- 数据分析能力增强：通过添加自定义字段，可以根据特定需求对数据进行更深入的分析和挖掘，提供更准确的洞察力。
- 个性化需求满足：自定义字段可以根据用户的个性化需求进行定义，满足不同用户的特定分析要求。
- 数据可视化增强：通过添加自定义字段，可以在Splunk的可视化组件中使用这些字段，提供更丰富的数据可视化效果。
- 数据整合能力增强：自定义字段可以将不同数据源的字段进行整合，实现更全面的数据分析。
在腾讯云的产品生态中，可以使用腾讯云的日志服务CLS（Cloud Log Service）来收集、存储和分析Splunk日志数据。CLS提供了高可用、高性能的日志数据处理能力，可以与Splunk无缝集成，帮助用户更好地管理和分析日志数据。
腾讯云CLS产品介绍链接：https://cloud.tencent.com/product/cls
相关·内容
我正在使用一个查询来查询splunk，这个查询是为了搜索splunk数据库。
现在，这个查询给了我很多字段作为结果。但我只希望输出中选定的字段。怎么做？
我正在使用‘自定义可视化’应用程序在splunk。我希望我的splunk查询在自定义可视化中使用，以便生成流程图。如何实现这一目标？
浏览 2提问于2015-09-03得票数 0
回答已采纳
2回答
splunk解析IIS日志文件
、、、、
我正在使用Splunk来解析来自几个服务器的IIS日志文件，所有的服务器都有相同的字段设置，并且所有的服务器都运行相同版本的Windows2003服务器。然而，splunk将这些日志文件的源类型标记为"iis“、"iis-2”或"iis-3"...即使来自同一台服务器。我似乎找不到模式。如何确保splunk标记所有日志文件的类型相同？
另一个问题是，对于一些日志文件，splunk会自动提取querystring字段中的所有键/值，而对于一些日志文件则不会。我想让splunk在索引时解析出查询字符串键/值，这样在搜索时它就会很快。
有人能帮上忙吗？
谢谢
浏览 0提问于2012-02-07得票数 2
回答已采纳
3回答
我正在接管一个Splunk系统，需要反向工程一个csv文件输入到一个特定的索引。但是，我不知道如何清楚地识别原始文件的列顺序，因为Splunk总是按字母顺序显示字段。
如果输入文件的列顺序发生变化，是否重要？我是Splunk的新手，它看起来非常聪明，但是它是否足够聪明来检测我是否改变了csv列的顺序？
浏览 0提问于2016-12-20得票数 0
回答已采纳
我想在splunk中使用一个查询，提取一个字段列表，然后使用这些结果字段进一步过滤我随后的splunk查询。我该怎么做呢？
浏览 27提问于2013-03-02得票数 4
2回答
自定义模块
、、
我是新的Splunk -以及在Python和开始工作的Splunk自定义模块，我已经参考了Splunk网站的。当我使用VisualStudio2017 -> Python3创建了相同的文件结构时，它会给我一个错误
未找到导入controllers.module
未找到“进口扣篮”
未找到导入splunk.search
未找到导入splunk.util
未找到导入splunk.entity
从splunk.appserver.mrsparkle.lib导入json未找到
未找到将lib.util作为util导入
注意:我已经使用“package”导入了，
浏览 1提问于2018-07-10得票数 0
我正在使用java rest api sdk从Splunk的搜索应用程序中检索事件。我在搜索期间检索了名为splunk_server的字段，并为其设置了值。然后，我尝试将日志消息格式化为key=value对模式。例如：splunk_server=remoteserver。我希望将我为新事件设置的splunk_server值添加到splunk中。但出现的是默认值。
有没有办法设置splunk_server的值，并在每次添加新事件时显示我在Splunk服务器中设置的值？
浏览 2提问于2012-03-27得票数 0
1回答
我对splunk有以下疑问 index="cusomerIndex" source=*client-api* "pending customer approval" 这个查询给出了以下结果 msg: pending customer approval for customer1` 我还有一个关于splunk的问题 index="orderIndex" source=*order-api* "email notification sent" 此查询在customer字段中显示以下结果 customerId: customer1
m
浏览 47提问于2020-03-23得票数 0
我使用Splunk HttpEventCollectorLogbackAppender自动将应用程序日志发送到Splunk。我一直在尝试设置主机、源代码和源代码类型，但没有运气将它们发送到Splunk。
是否可以使用Splunk HttpEventCollectorLogbackAppender设置主机、源或源类型，如果可以，我如何做？
我一直试图发送JSON，但它似乎不起作用。
这里的文档告诉您哪些选项是可用的，并说明它们需要作为查询字符串传递，但是由于我使用的是开箱即用的Splunk appender，所以我不确定如何设置这些选项。
Splunk logback appender：
..
浏览 0提问于2016-12-06得票数 10
回答已采纳
当我在splunk search head中键入此搜索查询时：
index=main sourcetype=mySrcType | top fieldA fieldB
Splunk会自动将count列添加到结果表中。现在，这个数是多少？它是每个字段计数的简单和吗？
浏览 10提问于2017-07-29得票数 0
回答已采纳
我有一个名为"impact_time“的字段，其中有人类可读的日期。现在，我想查询一个范围为impact_time的splunk。唯一的问题是，我所拥有的最早和最晚的时间都是纪元格式。如何根据我传递的纪元时间范围进行splunk查询？
浏览 0提问于2016-09-29得票数 0
1回答
我想要一个单一的搜索查询下面的splunk查询。
第一次搜索会给出一个动态字段myorderid
index=mylog "trigger.rule: Id -*：意外系统错误“| rex field=_raw "Id -""(?^:*)”|表myorderid
我想在下面的搜索条件中传递上面的myorderid
index=mylog API=Order orderid=myorderid
有没有人可以帮我在splunk中使用子搜索创建一个查询。
浏览 2提问于2018-11-23得票数 0
我有Splunk日志，其条目如下所示：
15/01/2020
10:34:29.076
{ [-]
app_module: testmodule
environment: XXXX
level: INFO
logger_name: project.stats
message: Query execution time: [1222] app ID: [TEST] for user: [jhhsakjhsa]
thread_name: catalina-exec-371
timestamp: 20
浏览 1提问于2020-01-15得票数 0
我有一个splunk查询，比如
index=myIndex* source="source/path/of/logs/*.log" "Elephant"
因此，这带来了大约2,000个结果，这些结果是来自我的API之一的JSON响应，其中包含了world "Elephant"。这是我想要的--，但是，其中一些结果有重复的carId字段，我只想让Splunk向我展示唯一的搜索结果。
Splunk的结果如下所示：
MyApiRequests {"carId":3454353435,"make":"toyota&
浏览 2提问于2021-05-06得票数 6
我在splunk日志中有一个字段"hostname“，在我的事件中可以作为"host = server.region.ab1dc2.mydomain.com”使用。
我可以在splunk查询中引用同名为" host“的主机。我想在两个点之后提取4位数的子字符串，对于上面的例子，它将是"ab1d“。对于此提取，我的splunk查询应该是什么样的呢？
基本上，我已经得到了一个字符串，并想跳过两个点，然后再取四个字符。
浏览 6提问于2022-02-14得票数 -1
我正在使用Splunk java SDK从Splunk服务器搜索模式。我使用的是模式 search index=* env=* (GET OR POST OR PUT OR DELETE) | where isNum(httpStatusCode) 当我在Java SDK中使用这个查询时，Splunk没有发送任何事件。但当我从Splunk web应用程序查询时，它显示了响应。我的Splunk日志包含两种类型的事件。一个事件类型为httpStatusCode字符串，另一个事件类型为httpStatusCode number.Both，如下所示： 类型1 [31/Jan/2019:10:27:4
浏览 49提问于2019-01-31得票数 1
2回答
我有一个splunk仪表板，其查询如下所示：
index=my_index sourcetype=cloudwatch_log responseTime | timechart span=5m avg(responseTime) as responseTime
仪表板有一个时间输入。我希望上面查询中的span基于所选择的时间输入来更新，这样跨度总是时间范围的10%。例如，用户选择15分钟，跨度为1.5米。我该怎么做？
浏览 1提问于2020-12-01得票数 1
回答已采纳
所以我尝试通过python splunk查询导出到elasticsearch。我正在使用python中的json.dump()特性，它的工作和转换完全像SPLUNK Web的convert特性。我的问题是，它给了我一个名为_RAW的字段，其中包含管道'|‘信息，因此弹性搜索不会看到单个字段，而是像这样将所有字段组合在一起： Data| nameId="123123" | exampleID='1234123' | fieldName="Example" ....etc 我希望能够有一个"data“字段或一个"fieldN
浏览 11提问于2019-10-11得票数 0
好的，我来自Splunk背景，我正在尝试使用Kibana复制搜索。
splunk查询的重要部分是通过创建多值字段来显示给定字段的唯一值。
Splunk聚合：|统计值(Field1)按FieldValues计算，按field2计算按EventCount计算
这将产生一个数据表，该表提供field2的唯一值的计数(EventCount)，并为每一行创建一个包含field1的唯一值列表的多值字段。
这可以使用Kibana可视化吗？我对唯一计数或将其分成多个表不感兴趣。我已经在论坛上找遍了，但还没有找到这样做的方法。
浏览 3提问于2021-03-10得票数 1
我的EC2容器由亚马逊网络服务上的ECS ( Docker容器服务)管理。ECS集群决定容器将在哪个EC2实例上运行。
我看到有一种方法可以配置Splunk驱动程序将Docker容器Id和/或容器名称与每个日志条目一起发送到Splunk，但我找不到发送EC2实例Id的方法。对于这一点似乎没有一个变量(参见)。
浏览 1提问于2016-08-30得票数 1
当通过splunk执行查询时，结果显然是在100个条目之后被剪裁的。如何绕过这一限制？
我试过：
>job = service.jobs.create(qstring,max_count=0, max_time=0, count=10000)
>while not job.is_ready():
time.sleep(1)
>out = list(results.ResultsReader(job.results()))
>print(len(out))
100
但是splunk界面中的相同查询会产生超过100行的结果。
浏览 4提问于2014-12-15得票数 6
回答已采纳
2回答
推出splunk，我正在讨论切换到JSON。Splunk现在支持spath，甚至支持JSON实现用户友好性(ref：http://dev.splunk.com/view/logging-best-practices/SP-CAAADP6 )
具有讽刺意味的是，Splunk还建议反对JSON (ref：http://docs.splunk.com/Documentation/Storm/Storm/User/Bestpractices )。当然，风暴是云，不是托管，而是什么？
有人在splunk中使用JSON吗？有人能谈谈现实世界中索引搜索的性能差异以及利用spath轻松创建搜索查询的能力吗？
浏览 0提问于2015-01-22得票数 0
2回答
从1到100 number1= AnyNumber从1到100 number2= AnyNumber从1到100，这是我的数据在Splunk中的样子
{[-]
field1: number1,
fiedl2: number2,
...
}
我想检查这两个字段是否匹配，我的Splunk查询
| search filed1 != field2
| stats count by field1,field2
浏览 12提问于2022-09-14得票数 0
我有一个Splunk仪表板，其中您有一个具有选定的编码标识符的表。
您可以单击一行并选择一个标识符作为标记，该标识符可以用数据填充其他字段。现在，在我公司的intranet上，我们有一个url，您可以在其中输入编码的标识符，并在get请求中取回已解码的数据。
现在，我有一个单值字段，它显示编码的标识符，当您单击它时，它会调用解码器，并在一个新的选项卡中打开解码结果。这是一个标准的Splunk链接。
在选择标识符(令牌设置)并将响应数据作为字符串检索并提取(使用regex)并在单个值字段中自动显示解码数据时，是否可以让Splunk自动调用URL (执行GET请求)？
如果没有，那么Splunk至
浏览 7提问于2020-11-23得票数 0
回答已采纳
我有很多想要记录到Splunk的应用程序。我将通过UDP侦听器以XML格式发送数据。正在发送的数据如下所示：
<log4j:event logger="ASP.global_asax" level="INFO" timestamp="1303830487907" thread="15">
<log4j:message>New session started</log4j:message>
<log4j:properties>
<log4j:data name=&
浏览 2提问于2011-04-27得票数 0
回答已采纳
下面是我的应用模块'app‘构建gradle的样子：
apply plugin: 'com.android.application'
repositories {
maven { url 'http://localhost:8080/repository/internal/' }
}
...
dependencies {
compile 'org.apache.httpcomponents:httpmime:4.2.3'
compile 'com.testpackage.networking:netw
浏览 1提问于2015-06-11得票数 6
关于Splunk Cloud中的PagerDuty集成，我遇到了一些不同的问题。
PagerDuty网站上的文档要么是过时的，不适用于Splunk Cloud，要么是我的Splunk Cloud帐户的配置方式有问题(可能是权限问题)：。我在Splunk Cloud中没有看到Alert Actions页面，但我有一个搜索、报告和警报页面。
我已经使用alert_logevent应用程序在Splunk中配置了PD警报，但还不清楚我是否应该使用其他应用程序。当有搜索结果时，这些警报确实会触发，但我看到了另一个问题(如下所示)。alert_webhook应用程序类型似乎是合适的，但我无法让它正常工作。
浏览 1提问于2019-01-07得票数 1
我正在尝试将Splunk的查询结果导出到Python应用程序中。我有键值字段，其中一个有json字符串(即用引号包装的json结构)。
首先，我遇到了一个问题，使用table命令只返回开头括号(例如"{")，然后通过rex提取文本来解决这个问题。
然而，尽管该查询在Splunk (包括下载选项)中运行良好，但每当我通过SDK进行查询时，我都会得到"{“作为一个值。我尝试过CSV/JSON/XML导出，所有这些都遇到了同样的问题。
有什么建议吗？
浏览 4提问于2017-03-19得票数 0
回答已采纳
1回答
我试图从splunk搜索中获取值，以获得电子邮件警告消息。我用来触发警报的splunk搜索查询是"resourceGroup="myResourceGroup" severity="Error" (简化版本)。搜索的输出如下
{
msg: Error encountered will getting details from API
resourceGroup: myResourceGroup
severity: Error
sourceContext: SystemContext
success: false
浏览 4提问于2022-11-30得票数 1
1回答
我大量使用SPLUNK和。大多数情况下，这是很好的工作。这种快速查询语言也很容易用于非开发人员。我使用R旁边的SPLUNK开发先进的分析包，以测试软件的稳健性。我想把两者混合起来。
是否有任何R包或R软件接受和处理SPLUNK查询？如果没有，还需要有人在R中使用这个功能吗？
浏览 1提问于2014-10-28得票数 1
我已经在Splunk中创建了报告："splunk_report“。我想在Splunk仪表板中使用它。
我已经从report添加了新的面板-> new，但现在它显示了一个表(正如它在saved report中定义的那样)，我想要获得该表中的总行数。是否可以计算当前报告的数量？例如："splunk_report“|统计数据计数(系统)
我不想复制整个搜索查询，因为将来当报告中的搜索更改时，我必须在两个地方更改它。
浏览 1提问于2021-07-21得票数 0
我有一个有650k事件索引数据的Splunk服务器。我想将整个数据从一个实例迁移到另一个新实例。我尝试使用数据字段为-27D@d的迁移脚本，但我只能迁移50k数据。-27D@d是可以获得初始数据的点。你能帮我一下吗？代码如下： import splunklib.client as client
import splunklib.results as results
import json
import requests
send_string = ""
service=client.connect(host="host1", port=8089, user
浏览 36提问于2021-10-17得票数 0
回答已采纳
3回答
有以下查询index=app (splunk_server_group=bex OR splunk_server_group=default) sourcetype=rpm-web* host=rpm-web* "CACHE_NAME=RATE_SHOPPER" method = GET | stats count(eval(searchmatch("true))) as Hit, count(eval(searchmatch("found=false"))) as Miss
需要制作两种值的饼图“命中率和漏报率”
可以区分值的字段是Message=[C
浏览 21提问于2022-04-12得票数 0
查询正在删除Splunk DB数据：
我的要求：
我根据时间戳对splunk进行了查询，"from date“和"to date”。
在获得时间戳之间所有事件结果的列表后，我想从Splunk数据库中删除这些事件列表。
每个查询的结果数据都将存储在目标数据库中，因此我想从查询Splunk DB中删除每个查询的结果数据，这样我的下一次查询就不会以给出重复的结果而结束，我还想释放源Splunk DB中的存储空间。
因此，我想要一个有效的解决方案，如何从查询Splunk DB中完全删除查询结果数据？
谢谢和问候，达兰德拉·塞蒂
浏览 3提问于2017-03-07得票数 0
1回答
更改AKS日志格式
、、、
我们最近将AKS集群从1.17.x更新到1.19.x，并认识到/var/lib/docker/containers中的自定义应用程序日志的格式发生了变化。
在更新之前，它如下所示：
后来看起来是这样的：
我可以在changelog中找到一些注释，即kubernetes从仅仅的文本日志更改为结构化日志(对于系统组件)，但我不认为这与日志格式的变化有什么关系。
是否仍有机会在AKS > 1.19.x中获得有效的/var/lib/docker/containers json日志？
背景:我们将应用程序日志发送到Splunk，而不使用Azure堆栈进行日志分析。我们的Splunk
浏览 3提问于2021-02-16得票数 3
回答已采纳
从Splunk，我正在尝试获取用户，保存的搜索名称和上次查询运行的时间？一个Splunk查询就很好了。我是Splunk的新手，我尝试过这些查询： index=_audit action=search info=granted search=*
| search IsNotNull(savedsearch_name) user!="splunk-system-user"
| table user savedserach_name user search _time 对于savesearch_name，上述查询始终为空。
浏览 23提问于2019-10-19得票数 0
我创建了一个带有类别(位置)的自定义post_type (目的地)，为我的SVG映射提供树结构：Continent/Country/Town
例如地点：
Europe/Germany/Berlin/POST
Europe/Italiy/Sicily/POST
North-Africa/Morocco/Marrakech/POST
我的计划是用国家短代码(DE代表德国，IT代表意大利，LY代表利比亚(.)来填充地图。
下面是我的地图的一个基本示例：
如何为附加到每个位置的地图的简短代码分配一个新字段？德国=> DE，意大利=> IT，摩洛哥=> MA
我想，我可以使用描述字段，
浏览 13提问于2015-06-16得票数 0
回答已采纳
在一个相关的中，我询问如何从Chef查询中创建一个以逗号分隔的主机列表。但问题是，我使用的是测试厨房，它不使用主厨服务器，所以这就是为什么我的查询没有返回任何主机。
那么，我的问题是，如何在测试厨房中测试依赖厨师查询的菜谱？将数据预装到文件或类似的文件中不会暴露刀查询本身中的任何错误。是否有一个总线程序允许我运行对主厨服务器的查询？
更新:下面是支持我从Chef查询中获得的奇怪结果的代码。
配方：
# Create output conf file
indexers = search("node", "role:#{node['forwarder'][&
浏览 3提问于2017-07-07得票数 0
回答已采纳
1回答
提前谢谢你。
我使用温斯顿记录器打印JSON格式的应用程序日志。
但不知何故，它以Javascript对象格式打印，没有双引号，如下所示
{
message: 'APP listening on 4000',
level: 'info',
env: 'local',
timestamp: '2022-03-10T04:58:35.303Z'
}
在Splunk日志中，它不认为它是JSON，因为缺少了键的双引号。
对于这个JS对象，我可以使用Splunk查询将其转换为带有双引号和提取字段的JSON字符串吗？
浏览 2提问于2022-03-10得票数 2
1回答
如何使用splunk查询将所需数据从日志提取到自定义字段中？
我尝试过使用rex命令执行多个查询，以从日志中提取某些自定义字段中的某些数据，但我从未在输出中看到splunk显示所有输出字段的情况。
例如:如果下面是日志中的数据
student : {"firstName":"Barry", "lastName":"Allen", "city":"Central City", "address":"xyz"}
student : {"firstName"
浏览 3提问于2016-05-24得票数 0
我使用splunk转发器将IBMMQv9.1错误日志转发到一个集中式集群，以查看分布消息系统中常见错误的趋势。
但是，我无法解析所需的字段，因为MQ错误日志的格式是不同的，即消息的严重性可能是错误、警告、信息、严重和终止，而且每个字段本身都有不同的字段集，并且不一致。
请让我知道是否有人在splunk中使用regex来解析v9.1的IBM错误日志字段。
我尝试过很少的regex模式，但它并没有像预期的那样进行解析。
我已经参考了下面的链接，但这是针对v8的，v9，的错误日志格式不同。
此外，splunk用户无法访问错误日志。我已经更新了qm.ini文件系统中的以下章节: ValidateAut
浏览 0提问于2020-04-09得票数 5
回答已采纳
我正在尝试将Splunk搜索查询与数据库查询结果集合并。基本上，我有一个Splunk 1，它从数据库中返回userid和email，如下所示：
| dbxquery connection="CMDB009" query="SELECT dra.value, z.email FROM DRES_PRINTABLE z, DRES.CREDENTIAL bc, DRES.CRATTR dra WHERE z.userid = bc.drid AND z.drid = dra.dredid AND dra.value in ('xy67383') "
浏览 10提问于2021-12-16得票数 0
我已经部署了一个Splunk独立服务器(也作为一个部署服务器)与码头，并在我的PC上安装了一个转发器，转发器管理显示，转发器已连接到Splunk服务器。然后，我尝试在Splunk服务器上修改input.conf，如下所示
[monitor://D:\git_web_test1\logs]
disabled=false
index=applogs
sourcetype=applogs
whitelist=*
我运行splunk reload deploy-server，然后我可以看到日志已经推到了Splunk服务器，但是我发现它被推到了错误的索引(Main)和意外的源类型：
22/07/22 1
浏览 5提问于2022-07-23得票数 0
回答已采纳
使用Python检索Splunk生成的网页。该网页包含一个表/列表，需要很长时间才能加载。
加载网页时，Splunk提供网页，但该表/列表除外。在表应该存在的区域，Splunk将字符串“等待数据”返回给表/列表，因为Splunk在后台执行要完成的搜索查询。
我面临的问题是，Selenium有时返回一个适当的表/列表，有时满足于字符串“等待数据”。
我原以为使用driver.implicitly_wait()可以解决这个问题，但事实并非如此。
Q:如何配置Selenium以等待w继续，直到网页中没有字符串“等待数据”为止。或者，在页面“完全”加载之前，如何配置Selenium。
浏览 2提问于2022-08-11得票数 0
这是我的脚本，但它不工作，因为它显示sys.arg8超出了索引范围。
Splunk:您的警报可触发shell脚本或批处理文件，这些脚本或批处理文件必须位于$SPLUNK_HOME/bin/scripts中。使用以下属性/值对：
action.script =
Splunk目前允许您将参数作为命令行参数和环境变量传递给脚本。这是因为命令行参数并不总是适用于某些接口，例如Windows。
环境中可用的值如下：
SPLUNK_ARG_0脚本名称SPLUNK_ARG_1返回的事件数搜索项SPLUNK_ARG_3完全限定的查询字符串SPLUNK_ARG_4已保存的搜索的名称SPLUNK_ARG_5触发原
浏览 1提问于2015-12-02得票数 2
3回答
我有一组记录，在两个字段X和Y上有多个重复值。我想编写一个splunk查询来查找不同的X及其对应的Y值。我完全不知所措，也不知道如何提出这个查询。有人能帮帮忙吗？
浏览 3提问于2014-04-03得票数 3
我想发展一个特殊的章节，有特定类型的内容。我想有一个专门的网页来提交一部电影。
我尝试使用wordpress的自定义页面，但我想添加强制性的自定义字段，如：
日期
电影类型
..。
如果没有字段，我如何才能使这些字段可见并阻止子字段？
谢谢
浏览 2提问于2017-07-22得票数 0
回答已采纳
1回答
我目前正在编写一个Splunk查询，以在事件上提取一个报告，我现在就用它来完成它，它必须只使用表
index=1234 source="/apps/logs/*.log" AND "logType=API_RESPONSE"
| spath input=request
| spath input=response
| rename body.data.Item1 as Item1
| rename body.data.Item2 as Item2
| rename body.data.Item3 as Item3
| stats count by URI
浏览 8提问于2022-08-29得票数 -2
1回答
如何处理自定义字段的表单搜索？
、、、、
我刚刚开始在一个项目中实现搜索模块，在这个项目中，我有一个由组合框、文本框、单选按钮等固定字段组成的表单(在多个选项卡中大约有200个字段)，以后客户端也应该能够添加额外的字段。一旦用户填充了他想要搜索的字段，那么搜索条件也应该能够保存。由于所有这些原因，对于每个字段，我都是以以下格式关联元数据。
"EntityName.attributeName"：attributeValue
一旦用户填充了要搜索的表单字段，我将验证表单数据，并且只验证我要发送给服务器的JSON格式的非空字段元数据。到现在为止一切都很好。但我现在正面临一个问题。
使用每个字段的元数据，我将为每个字段创建一个
浏览 2提问于2014-03-19得票数 0
这里的目的是使用Splunk
transaction startswith
与指定一对字段和自由表单搜索字符串的查询一起使用。查询的正确结构/顺序是什么？
首先:以下查询返回几条记录：
index=dev sourcetype="alstest-tuning--1-0-50--*" Error
现在我们想查看每个结果之后的一些记录。以下是几次尝试：
transaction startswith("index=dev sourcetype=\"alstest-tuning--1-0-50--*\" Error") maxevents=20
和
浏览 3提问于2017-01-27得票数 2
我正在处理包含许多字段的事件日志。我试图隔离1字段并获取该字段值的计数，并将计数显示在现有表中作为新字段。
这是我的日志：LOG_LEVEL="INFO" MESSAGE="Type_of_Call = Sample Call LOB = F DateTime_Stamp = 2022-10-10T21:10:53.900129 Policy_Number = 12-AB-1234-5 Requester_Id = A1231301 Last_Name = SAMPLE State = IL City = Chicago Zip 12345" APPLICAT
浏览 2提问于2022-10-12得票数 0
回答已采纳
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
