splunk - 查询以查找 splunk 中的唯一代码

Question

有人可以建议一个查询来发送唯一的错误代码计数。

示例 在此处输入图像描述 2006

在标签之间（代替 2006）打印不同的代码我需要查询以提取所有唯一的错误代码

Answer 1

您可以使用该rex命令提取所需的值。它看起来像这样：

your_initial_query
| rex field=_raw "<com:errorCode>(?<code>.*)<\/com:errorCode>"
| stats count by code

第二行告诉rex提取 errorCode 标记之间的所有内容并将其保存到名为code. 然后，您可以使用该stats命令来计算看到代码的次数。