report - 生成仅包含提取字段的 Splunk 报告

Question

首先，也许我正在寻找的东西是不可能的，或者我走错了路。请建议。

考虑一下，我的原始数据有 n 个参数，每个参数用“&”分隔。

Id=1234&ACC=bc3gds5&X=TESTX&Y=456567&Z=4457656&M=TESTM&N=TESTN&P=5ec3a 

使用 SPL，我只过滤了我感兴趣的几个字段（ACC、X、Y）。现在，我想只使用表格格式的过滤字段生成报告，而不是整个原始数据。

Answer 1

可能有不止一种方法可以做到这一点，但我喜欢使用rex. 该rex命令将与正则表达式匹配的文本提取到字段中。一旦你有了这些字段，你就可以在它们上使用 SPL 来做你需要的任何事情。

index=foo
| rex "ACC=(?<ACC>[^&]+)&X=(?<X>[^&]+)&Y=(?<Y>[^&]+)"
| table ACC X Y