Splunk SPL 关键字 函数 示例 （施工中。。。）

语法符号说明

必要参数显⽰在尖括号 < > 中。
可选参数显⽰在⽅括号 [ ] 中。

---

table

在查询结果中只展示对应字段。

示例

| table 字段1,字段2,字段3

---

stats

将查询结果进行聚合统计，类似 SQL 中的 group 。

示例

| stats count by 字段1,字段2

将查询结果按 字段1 和 字段2 分组，统计记录数量。

---

timechart

将查询结果以时间为 X 轴进行聚合统计 。

语法

timechart [sep=<string>] [format=<string>] [partial=<bool>] [cont=<bool>] [limit=<int>]
[agg=<stats-agg-term>] [<bin-options>...] ( (<single-agg> [BY <split-by-clause>] ) | (<eval-
expression>) BY <split-by-clause> )

示例

| timechart span=1h count by 字段

将查询结果按 字段 分组，统计每小时记录数。

---

head

筛选出前10000条日志作为查询结果。

示例

| head 10000

---

eval if in

示例

| eval 新字段=if(字段 in ("甲","乙","丙"),"结果1","结果2")

如果 字段 的值为"甲","乙","丙"中的任意一个,则 新字段 的值为"结果1",否则 新字段 的值为"结果2"。

---

iplocation

生成IP对应的地区信息,会在结果中加入 City、Country、lat、lon 和 Region 字段，用来表示日志中IP的所在地信息。

语法

iplocation [prefix=<string>] [allfields=<bool>] [lang=<string>] <ip-address-fieldname>

示例

| iplocation lang=zh ip
| table Country,City,ip

---

tstats

对加速数据模型进行统计查询。

语法

| tstats [prestats=<bool>] [local=<bool>] [append=<bool>] [summariesonly=<bool>]
[allow_old_summaries=<bool>] [chunk_size=<unsigned int>] <stats-func>...
[FROM ( <namespace> | sid=<tscollect-job-id> | datamodel=<data_model-name> )]
[WHERE <search-query> | <field> IN (<value-list>)]
[BY <field-list> [span=<timespan>] ]

示例

| tstats summariesonly=t count from datamodel=数据模型名 where 1=1

---

rex

用正则表达式在某个字段中提取新字段。

语法

rex [field=<field>] ( <regex-expression> [max_match=<int>] [offset_field=<string>] ) |
(mode=sed <sed-expression>)

示例

| rex field=_raw "正则1(?\<新字段名\>正则2)正则3" 

---

replace

将字段中的值替换为新值。可以使用通配符 * 进行模糊匹配

语法

replace (<wc-string> WITH <wc-string>)...[IN <field-list>]

示例

| replace "原值" with "新值" in 字段名

---

earliest latest

将查询结果控制在某个时间范围。
一般用于子查询或动态查询。

• 现在：now
• 2小时前：-2h@h
• 1天前：-1d@d

示例

index=* earliest=-2h@h latest=now

---