Splunk中判断某字段包含某个字符串

在实际业务中有时我们会用到对某个字符串或字段是否包含某个特定的关键字或字符串来进行不同的逻辑处理，在Splunk中我们使用like函数实现这一判断：

| eval row_log="03/29/2022 14:34:25 INFO The host finished uploading file."
| eval state=if((like(row_log, "%finished%") AND like(row_log, "%INFO%")), "Completed", "Failed")

#这里使用like函数，第一个参数是要判断值的字段名，第二个参数是要判断的关键字，关键字前后必须加上%以表示匹配该关键字，如果是想要判断多个关键字，可以使用AND进行连接