Splunk中base search的使用

在dashbaord中有时可能多个panel里会使用一些共同的源数据，这时我们可以把这些查询共同数据的代码提取出来作为base search，然后在各个panel spl里引用。
eg:
定义base search:
<search id="baseSearchForStudent">     //这里要指定id，后面才可以引用这个id
    <query>
        index="aaa" sourcetype="bbb" ...     //将公共的查询语句写在这里
    </query>
    <earliest>0</earliest>
    <latest></latest>                       //这里根据自己的业务情况来指定查询的时间范围，这里定义的是all time。需要注意的是这里必须指定time range，否则在后面引用的时候再指定各自panel的time range时会报错。
</search>


引用base search:
<search base="baseSearchForStudent">     //这里的base值就是前面定义的base search的id，表示引用指定的base search
    <query>
        | eval age=..... | ...         //在具体的panel中query直接接着base search后面的语句写就可以了，这里就是针对各自业务逻辑写的差异化的spl
    </query>
</search>


使用splunk base search的缺点就是这个spl片段只能是作为引用的前半部分，也就是说在panel中引用时只能把base search放在前面作为基础代码，不可以在spl中间引用base search，这和我们通常使用的数据库中的sql片段的使用有些差别。