splunk spl语法笔记

QYHuiiQ

已于 2022-07-06 15:09:10 修改

阅读量6k

点赞数 1

分类专栏： Splunk 文章标签： splunk 大数据

于 2020-08-31 22:13:15 首次发布

本文链接：https://blog.csdn.net/QYHuiiQ/article/details/108330714

版权

Splunk 专栏收录该内容

57 篇文章 ¥49.90 ¥99.00

订阅专栏

超级会员免费看

本文详细记录了Splunk SPL查询语言的关键概念和实用技巧，涵盖了搜索、过滤、聚合等核心操作，旨在帮助读者更好地理解和运用SPL处理大数据分析任务。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

#重命名a为b
| rename a as b    

#日期格式化并计算
| eval t1=strptime(time1,"%Y-%m-%dT%H:%M:%S.%3N%z"),t2=strptime(time2,"%Y-%m-%dT%H:%M:%S.%3N%z")
| eval duration=t2-t1  

#变量值为0时显示的是变量名，需要如下判断(表示如果b+c等于0，那么结果就是0，否则就等于b+c的值)
| eval myvalue=if((b+c)=0,0,b+c) 

#保留两位小数
eval result=round(total,2)

#在dashboard中使用单$来引用变量，如果嵌套使用的search中也有变量，需要在search中使用双$$
$value1$    //dashboard
$$value2$$    //search in dashboard

#循环（将该字段的每个值的count都列出来放在一个table中）
| makeresults
| fields - _time
| eval multivalue="value1,value2,value3,value4"
| makemv multivalue delim=","
| mvexpand multivalue
| map search="| search index="xxx" source="yyy" myfield=