Splunk join 字段值区分大小写

在splunk中我们使用| search命令查询某个值的时候字段值是不区分大小写的，不管你指定的查询值是大写还是小写，它都会忽略大小写，但是字段名是区分大小写的。

但有时我们会需要用到join命令对两个子查询中的某个字段进行连接得到更多的信息，但是可能左右两边的查询中要连接的字段值会不规范，比如存在大小写混写的情况，这时就要注意，splunk中的join命令在对值进行连接时，是区分大小写的，也就是说在这种情况下要对两边的该字段统一进行upper()或者lower()，使值完全一致，才能实现join的结果。