Splunk中对字段值内部进行换行

在splunk中，有时某个字段的值可能是一长串多个具有key-value含义的拼接，但是我们想将这一长串的拼接在值的内部已换行的形式展示出来，比如在alert email body中直接使用该值时，就会以换行的形式展示，便于阅读。下面是两种方法，一种是mode=sed的方式，一种是以replace直接替代为换行的方式。

#case1，假设长串中以分号来连接key-value

| makeresults
| eval name="aaa",age="bbb",address="ccc"
| eval student="Name: ".name.";Age: ".age.";Address:".address
| table student

此时得到的student的结果是：

以分号为分隔符，使用mode=sed的方式进行值内换行：

| makeresults
| eval name=