Splunk子查询模糊匹配csv中字段值为*

之前我们的案例中常用的是直接在spl中用*来模糊匹配，但是如果在一个csv中定义某个字段的值为*，然后在spl里对该csv进行查询时，这个*值是否还表示模糊匹配？针对这个疑问，做了如下测试：

• 创建csv测试数据

| makeresults
| eval student_name="T*",hometown="Zhejiang"
| fields - _time
| outputlookup student.csv
#这里我想表示的是名字以T开头的，所有学生的hometown都是Zhejiang

查看csv：

•  使用spl将原数据与csv合并查询

| makeresults
| eval student_name="Tina",age="17",hometown="Zhejiang"
| search 
    [| inputlookup student.csv
    | fields student_name hometown]
| table student_name age hometown