splunk - where vs sort：哪个更有效？

Question

哪个更有效 - 在哪里或排序？我有大量的数据，效率对我很重要。我应该先做“哪里”，还是先做“排序”？

|其中 count>100 |排序计数水果

或者

|排序计数水果|其中计数>100

score 2 · Accepted Answer

首先过滤（使用where或其他命令）更有效。这意味着下游命令需要处理的更少，因此它们工作得更快并且使用的资源更少。

score 1 · Accepted Answer

“正确”的答案是@RichG给出的答案

然而，与生活中的大多数事情一样，“现实”的答案是“视情况而定”

应该是先过滤再排序会更有效率

但是我已经看到稍后过滤实际上更有效的实例（取决于许多因素） - 所以你真的需要尝试两种方式来确定

Docs.Splunk 链接：

2 回答 2