splunk - splunk - 获取与正则表达式匹配的字段值的不同计数

Question

我正在这样做——

<<>> | search $country$ $campaign_name$ event_name=email OR event_name=event|stats dc(person_id)

现在在最后而不是 dc 的 person_id 我需要一个匹配正则表达式的 person_id 计数 -

<<>> | search $country$ $campaign_name$ event_name=email OR event_name=event|stats dc(regex person_id="^(.?$|[^W].+|W[^F].*)" )

我在 dc() 中使用正则表达式尝试了上述查询，但它中断了。任何帮助将不胜感激。

Answer 1

这是一个老问题，但为了其他关心的人的利益，这应该会产生预期的结果。

<<>> | 搜索 $country$ $campaign_name$ event_name=email 或 event_name=event|stats dc(eval(match(person_id,"^(.?$|[^W].+|W[^F].*)")))