Simple Log Service：Sintaksis dari kueri berbasis pemindaian

• Bidang mentah: dilabeli [R], berlaku untuk pencarian pemindaian.

• Bidang indeks: dilabeli , berlaku untuk pencarian indeks.

[I] __topic__: nginx-access-log
[I] Status: 200
[I] Host: api.abc.com
[R] Method: PUT
[R] ClientIp: 192.168.1.1
[R] Payload: {"Item": "1122", "UserId": "112233", "Operation": "AddCart"}
[R] BeginTime: 1.705.029.260
[R] EndTime: 1.705.028.561
[R] RT: 87
[R] Uri: /request/path-3/file-1
[R] UserAgent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_5; ar) AppleWebKit/533.19.4 (KHTML, like Gecko) Version/5.0.3 Safari/533.19.4

Filter berdasarkan kondisi berbeda​

• Perbandingan kesetaraan

  Status: 200 | where ClientIp = '192.168.1.1'

• Pencarian tanpa memperhatikan huruf besar/kecil

  __topic__: nginx-access-log | where lower(Method) != 'put'

• Pencocokan kabur

  Status: 200 | where UserAgent like '%Macintosh%'

• Perbandingan numerik

  Perhatikan bahwa tipe bidang default adalah varchar. Konversikan tipe menjadi bigint sebelum melakukan perbandingan numerik.

  Status: 200 |  where cast(RT as bigint) > 50

• Pencocokan ekspresi reguler

  # Temukan URI yang mengandung "path-number"
  Status: 200 | where regexp_like(Uri, 'path-\d+')

Menghitung bidang baru

Silakan berikan teks bahasa Inggris yang perlu diterjemahkan ke dalam bahasa Indonesia.Hitung bidang baru dari yang sudah ada menggunakan instruksi extend.

• Ekstrak bidang menggunakan ekspresi reguler

  # Ekstrak nomor file dari bidang Uri
  * not Status: 200 | extend fileNumber=regexp_extract(Uri, 'file-(\d+)', 1)

• Ekstrak bidang dari JSON

  Status:200 | extend Item = json_extract_scalar(Payload, '$.Item')

• Ekstrak bidang berdasarkan pemisah

  Status:200 | extend urlParam=split_part(Uri, '/', 3)

• Hitung bidang baru dari beberapa nilai bidang

  # Hitung selisih waktu berdasarkan BeginTime dan EndTime
  Status:200 | extend timeRange = cast(BeginTime as bigint) - cast(EndTime as bigint)

Simpan, hapus, dan ubah nama bidang​

• Simpan hanya bidang tertentu dan hapus sisanya

  Status:200 | project Status, Uri

• Hapus bidang tertentu dan simpan sisanya

  Status:200 | project-away UserAgent

• Ubah nama bidang

  Status:200 | project-rename Latency=RT

Perluas data tak terstruktur

• Perluas semua bidang dalam JSON

  # Filter Payload yang tidak kosong dan perluas semua bidang JSON
  __topic__: nginx-access-log | where Payload is not null | parse-json Payload

• Perluas bidang JSON dan buang yang asli

  status:200 
  | parse-json body 
  | project-away body

• Ekstrak beberapa bidang menggunakan ekspresi reguler

  Status:200 | parse-regexp Uri, 'path-(\d+)/file-(\d+)' as pathIndex, fileIndex

Kaskade pipa multi-level

Anda dapat melakukan semua operasi yang disebutkan di atas dalam satu pernyataan pencarian menggunakan kaskade pipa multi-level, yang dieksekusi secara berurutan.

Status:200 
| where Payload is not null 
| parse-json Payload 
| project-away Payload 
| where Host='api.qzzw.com' and cast(RT as bigint) > 80 
| extend timeRange=cast(BeginTime as bigint) - cast(EndTime as bigint)
| where timeRange > 500
| project UserId, Uri