splunk-query - 在 Splunk 中将 JSON 数组解析为表

Question

我需要一些帮助才能将 JSON 数组解析为 splunk 中的表。在 splunk 中有以下 JSON 数据

data="[

{
 'environment':test,
 'name':Java,
 'date':28-01-2018
},

{
 'environment':prod,
 'name':Javascript,
 'date':28-01-2019
}

]"

我期待输出为

*******************************
Environment | name | date
*******************************
test        | Java | 28-01-2018

prod        | Javascript | 28-01-2019

感谢任何帮助。

问候

Answer 1

看起来你必须修改你的日志以获得正确的 JSON 结构。之后，您可以使用spath命令来解释并从 JSON 中获取值。这是示例解决方案

| makeresults 
| eval _raw="data=\"[{\"environment\":\"test\",\"name\":\"Java\",\"date\":\"28-01-2018\"},{\"environment\":\"prod\",\"name\":\"Javascript\",\"date\":\"28-01-2019\"}]\""
| rex field=_raw "data=\"(?<data>.*)\""
| spath input=data
| table {}.date, {}.environment, {}.name

Answer 2

使用spath应该相当简单

your search base |spath input=data