Todos os produtos
Search

Este produto

    Simple Log Service:Sintaxe e funções de busca

    Central de documentação

    Simple Log Service:Sintaxe e funções de busca

    Última atualização: Aug 26, 2026

    Simple Log Service permite filtrar logs com instruções de busca. Use os resultados isoladamente ou como entrada para instruções analíticas.

    Pré-requisitos

    Para consultar logs, crie um índice conforme descrito em crie um índice.

    Sintaxe básica

    Nota

    As instruções de consulta e análise são separadas por | no formato instrução de consulta|instrução analítica. Exemplo:

    * | SELECT status, count(*) AS PV GROUP BY status

    Tipo de instrução

    Descrição

    Instrução de busca

    Especifica condições de busca: palavras-chave, valores numéricos, intervalos numéricos, espaços ou asterisco (*).

    Ao especificar um espaço ou asterisco (*), nenhum filtro é aplicado.

    Importante

    Especifique no máximo 30 condições em uma instrução de busca.

    Instrução analítica
    Importante

    Instruções analíticas devem seguir uma instrução de busca. Não é necessária cláusula FROM ou WHERE — o SLS analisa todos os dados no Logstore atual por padrão. Elas não diferenciam maiúsculas de minúsculas, não suportam offset e não exigem ponto e vírgula final (;).

    Executa cálculos e análises estatísticas sobre os resultados da busca ou todos os dados. Funções e sintaxe suportadas:

    Como escrever consultas de busca

    image

    Para escrever uma instrução de consulta:

    Etapa 1: Escolha o tipo de busca

    Importante

    Os resultados dependem da configuração de índice. Se existirem índices de texto completo e de campo, os índices de campo têm precedência.

    Dependendo do tipo de índice, o Simple Log Service suporta dois tipos de busca para um Logstore: busca em texto completo e busca específica por campo.

    • Se criar apenas um índice de texto completo, use a busca em texto completo.

    • Se criar índices de campo, siga estas regras:

      • Para campos do tipo double ou long, use a sintaxe de busca específica por campo.

      • Para campos do tipo text: Se souber qual campo indexado contém a palavra-chave, use a sintaxe de busca específica por campo. Caso contrário, utilize a sintaxe de busca em texto completo.

        • Sem um índice de texto completo, a sintaxe de busca em texto completo consulta apenas campos de texto indexados.

        • Com um índice de texto completo criado, a sintaxe de busca em texto completo pesquisa em todos os campos de texto indexados.

    Busca em texto completo

    A busca em texto completo não visa um campo específico. Ela suporta curingas (* e ?) e operadores lógicos (and, or, not).

    Sintaxe de busca
     keywords1  [ and | or | not ] keywords2  ...

    Exemplos

    • Exemplo 1

      Busque logs contendo a palavra-chave GET. Sintaxe de busca: GET.

    • Exemplo 2

      Busque logs contendo a palavra-chave GET ou POST. Sintaxe de busca: GET or POST .

    • Exemplo 3

      Busque logs com palavras-chave começando com Jo, como Joe e Jon. Sintaxe de busca: Jo*.

    Busca específica por campo

    A busca específica por campo visa um campo indexado específico e suporta comparações numéricas e correspondência de expressão regular.

    Importante

    • indexname1 é o nome do campo a ser consultado. Se um nome de campo ou outro identificador contiver caracteres especiais (como espaços ou caracteres chineses) ou palavras-chave de busca (como and ou or), envolva-o entre aspas duplas (""). Consulte How do I use quotation marks in search and analytic statements.

    • Para campos indexados como long ou double, use operadores de comparação como >, >=, <, <=, = e in.

    Sintaxe de busca

    indexname1 [ : | > | >= | < | <= | = | in ] keyword1 [ [ and | or | not ] indexname2 ... ]

    Exemplos

    • Exemplo 1

      Busque logs onde request_method seja GET. Sintaxe de busca: request_method: GET.

    • Exemplo 2

      Busque logs onde request_time_msec seja maior que 50 (o campo deve estar indexado como double). Sintaxe de busca: request_time_msec>50.

    • Exemplo 3

      Busque logs onde request_method seja GET e request_time_msec seja maior que 50. Sintaxe de busca: request_method: GET and request_time_msec>50.

    Etapa 2: Tipos de dados de campo

    Cada tipo de dados de campo suporta operadores diferentes.

    Tipos de dados de campo

    Tipo

    Descrição

    Operadores suportados

    text

    Campo de string. Com a indexação de texto completo ativada, todos os campos assumem o padrão text, exceto __time__.

    and, or, not, (), :, "", \, * e ?.

    long and double

    Consultas de intervalo numérico exigem que o tipo de campo seja long ou double.

    • Se o tipo de campo não for double ou long, ou se a sintaxe de intervalo for inválida, o SLS recorre a uma busca em texto completo, o que pode retornar resultados inesperados.

      Por exemplo, se o campo owner_id não for do tipo double ou long, a instrução de busca owner_id>100 retorna logs que contêm todos os três termos: owner_id, > (tratado como termo, não delimitador) e 100.

    • Ao alterar o tipo de dados de um campo de text para double ou long, apenas buscas de igualdade com o operador = são suportadas. Para usar operadores de intervalo como maior que (>) e menor que (<), execute a reindex.

    and, or, not, (), >, >=, <, <=, = e in.

    JSON

    Defina o tipo de dados dos campos JSON como long, double ou text com base em seus valores e ative Enable Analytics.

    Use operadores conforme o tipo de dados dos campos dentro do objeto JSON.

    Operadores

    Importante

    • O operador in deve estar em letras minúsculas. Outros operadores não diferenciam maiúsculas de minúsculas.

    • O SLS reserva as seguintes palavras para uso como operadores. Para usá-las como palavras-chave de busca, envolva-as entre aspas duplas (""): sort, asc, desc, group by, avg, sum, min, max e limit.

    • Os operadores estão listados em ordem decrescente de precedência:

      1. Dois pontos (:)

      2. Aspas duplas ("")

      3. Parênteses ()

      4. and, not

      5. or

    Operador

    Descrição

    :

    Busca específica por campo no formato Chave:Valor. Exemplo: request_method:GET.

    Se um nome de campo ou valor contiver caracteres especiais, como espaços, dois pontos (:) ou hifens (-), envolva o nome ou valor entre aspas duplas (""). Exemplo: "file info":apsara.

    and

    Operador and. Exemplo: request_method:GET and status:200.

    Ao especificar várias palavras-chave sem um operador lógico, o operador and é usado por padrão. Por exemplo, GET 200 cn-shanghai equivale a GET and 200 and cn-shanghai.

    or

    Operador or. Exemplo: request_method:GET or status:200.

    not

    Operador not. Exemplos: request_method:GET not status:200 e not status:200.

    ( )

    Agrupa condições de busca para aumentar sua prioridade. Exemplo: (request_method:GET or request_method:POST) and status:200.

    ""

    Envolva uma palavra-chave de sintaxe em "" (aspas duplas) para tratá-la como literal. Em uma consulta de campo, todas as palavras em "" são tratadas como uma única frase.

    • Se um nome de campo ou valor contiver caracteres especiais (como espaços, caracteres chineses, : ou -) ou palavras-chave de sintaxe (como and ou or), envolva-o em "". Por exemplo, uma busca por "and" encontra logs que contêm a palavra "and", que não é tratada como operador.

    • O SLS reserva as seguintes palavras para uso como operadores. Para usá-las como palavras-chave de busca, envolva-as em "": sort, asc, desc, group by, avg, sum, min, max e limit.

    • Quando os logs são processados por transformação de dados ou um plug-in do Logtail, a chave da tag é convertida em uma chave padrão. Para consultar essa chave, envolva o nome do campo em "". Exemplo: "__tag__:__client_ip__":192.0.2.1. O campo __tag__:__client_ip__ é um reserved field que armazena o IP do host de coleta de logs.

    \

    Caractere de escape. Escapa aspas duplas ("") para permitir a busca como literal. Por exemplo, se um log contiver instance_id:nginx"01", busque-o usando a instrução instance_id:nginx\"01\".

    *

    Curinga correspondendo a zero ou mais caracteres. Exemplo: host:www*com.

    Nota

    O SLS encontra até 100 termos correspondentes nos seus logs e depois retorna todos os logs que contêm esses termos e atendem às condições de busca.

    ?

    Curinga correspondendo exatamente a um caractere. Exemplo: host:aliyund?c.

    >

    Valor do campo maior que um número. Exemplo: request_time>100.

    >=

    Valor do campo maior ou igual a um número. Exemplo: request_time>=100.

    <

    Valor do campo menor que um número. Exemplo: request_time<100.

    <=

    Valor do campo menor ou igual a um número. Exemplo: request_time<=100.

    =

    Busca logs onde o valor de um campo é igual a um número. Para campos do tipo double ou long, os operadores = e : são equivalentes. Por exemplo, request_time=100 equivale a request_time:100.

    in

    Busca logs onde o valor de um campo está dentro de um intervalo numérico. Colchetes [] indicam um intervalo fechado (inclusivo) e parênteses () indicam um intervalo aberto (exclusivo). Use um espaço para separar os dois números no intervalo. Exemplos: request_time in [100 200] ou request_time in (100 200].

    Importante

    O operador in deve estar em letras minúsculas.

    __source__

    Busca logs de uma origem específica. Caracteres curinga são suportados. Exemplo: __source__:192.0.2.*.

    Importante

    No Log Service, __source__ é um campo reservado que pode ser abreviado como source. Se definir um campo personalizado chamado source, ele entrará em conflito com o campo reservado source. Nesse caso, use capitalização diferente, como Source ou SOURCE, para consultar seu campo personalizado.

    __tag__

    Busca logs por metadados. Exemplo: __tag__:__receive_time__:1609837139.

    __topic__

    Busca logs por tópico. Exemplo: __topic__:nginx_access_log.

    Etapa 3: Selecione um modo de correspondência

    O SLS suporta busca exata e busca difusa.

    Tipo de busca

    Descrição

    Exemplo

    Busca exata

    Encontra logs que correspondem a palavras inteiras.

    O SLS usa segmentação de palavras, então uma consulta com múltiplas palavras pode não retornar uma correspondência exata. Uma consulta por abc def retorna logs contendo tanto abc quanto def, mas não necessariamente como uma frase contígua. Para corresponder à frase exata abc def, use uma phrase search ou uma cláusula LIKE. Consulte How do I query logs using exact match?

    • host:example.com: Encontra logs onde o campo host contém example.com.

    • PUT and cn-shanghai: Encontra logs que contêm ambas as palavras-chave PUT e cn-shanghai.

    • | Select where http_user_agent like '%like Gecko%': Encontra logs onde o valor do campo http_user_agent contém a frase like Gecko.

    • #"redo_index/1": Encontra logs que contêm a frase redo_index/1.

    Busca difusa

    Adicione um curinga (* ou ?) no meio ou no final de um termo (limite de 64 caracteres). O SLS corresponde até 100 termos e retorna todos os logs que os contêm. Termos mais específicos geram melhores resultados.

    Importante

    • Não use caracteres curinga, como asterisco (*) ou ponto de interrogação (?), no início de um termo de busca.

    • Buscas difusas usando curingas (* ou ?) não são suportadas em campos dos tipos de dados long ou double. Em vez disso, busque por um intervalo de valores, como status in [200 299].

    A busca difusa é uma consulta baseada em amostragem:

    • Com a indexação de campo ativada, o SLS faz amostragem do índice desse campo em vez de executar uma varredura completa, retornando um subconjunto representativo de resultados.

    • Com indexação de texto completo e nenhum campo especificado, o SLS faz amostragem do índice de texto completo, retornando um subconjunto representativo.

    • request_time>60 and request_method:Ge*: Encontra logs onde o valor do campo request_time é maior que 60 e o valor do campo request_method começa com Ge.

    • addr*: Encontra logs que contêm qualquer um dos até 100 termos começando com addr.

    • host:www.yl*: Encontra logs onde o campo host começa com www.yl, correspondendo a até 100 termos.

    How do I perform a fuzzy query on logs?

    Exemplos de instruções de busca

    Os resultados da busca dependem do conteúdo do log e da configuração do índice. Os exemplos abaixo usam o seguinte log de amostra e configuração de índice.

    Tipos text, double e long

    Log de amostra

    A seguir, um exemplo de log de acesso NGINX. As instruções de busca subsequentes baseiam-se neste formato de log:

    __tag__:__receive_time__0 :1645499498
body_bytes_sent :3033
client_ip :11x xxx xxx4.26
host :www.wmxxxxxxxxxm
http_host :wxxxxxxxx xxxck.com
http_user_agent :Mozilla/5.0 (Windows NT 6.1) AppleWebKit/535.11 (KHTML, like Gecko) Chrome/17.xxx xxx56 Safari/535.11
http_x_forwarded_for :11xx xxxxxxx.213
instance_id :i-01
instance_name :instance-02
network_type :vlan
owner_id :owner-01
referer :www.xxxxxxxxx.com
region :cn-shanghai
remote_addr :21x xx xxx76
remote_user :6f3x
request method :PUT POST
request_length :2414
request_method :GET
request_time :71
request_uri :/request/path-1/file-2
scheme :https
server_protocol :HTTP/2.0
slbid :slb-01
status :200
time_local :22/Feb/2022:03:11:08
upstream_addr :117.xxx.xxx6
upstream_response_time :27
upstream_status :200
user_agent :Mozilla/5.0 (Windows NT 6.1; WOW64; rv:29.0) Gecko/20120101 FireFox/29.0
vip_addr :2xx xxxxxxxx.33
vpc_id :195datxxxxxxxxxxxxxxxxx6d9c1f46f

    Configuração de índice

    Crie índices antes de consultar logs. Para verificar sua configuração de índice, siga estas etapas.

    1. Na página query and analysis do logstore, selecione Index Attributes > Attributes.

    2. No painel exibido, verifique se os índices de campo estão configurados.

    Busca comum

    Objetivo

    Instrução de busca

    Depuração

    Buscar requisições GET bem-sucedidas (código de status 200–299).

    		 
    request_method:GET and status in [200 299]

    Depuração

    Buscar requisições GET de fora da região China (Hangzhou).

    		 
    request_method:GET not region:cn-hangzhou

    Nenhum

    Buscar requisições GET ou POST.

    		 
    request_method:GET or request_method:POST

    Depuração

    Buscar requisições que não sejam GET.

    		 
    not request_method:GET

    Depuração

    Buscar requisições GET ou POST bem-sucedidas.

    		 
    (request_method:GET or request_method:POST) and status in [200 299]

    Depuração

    Buscar requisições GET ou POST com falha.

    		 
    (request_method:GET or request_method:POST) not status in [200 299]

    Depuração

    Buscar requisições GET bem-sucedidas (código de status 200–299) com tempo de requisição inferior a 60 segundos.

    		 
    request_method:GET and status in [200 299] not request_time>=60

    Depuração

    Buscar logs com tempo de requisição de 60 segundos.

    		 
    request_time:60

    Depuração

    		 
    request_time=60

    Depuração

    Buscar logs onde o tempo de requisição é maior ou igual a 60 segundos e menor que 200 segundos.

    		 
    request_time>=60 and request_time<200

    Depuração

    		 
    request_time in [60 200)

    Depuração

    Buscar logs onde o campo request_time existe.

    		 
    request_time:*

    Depuração

    Buscar logs onde o campo request_time está vazio ou contém um número inválido.

    		 
    (request_time:"") or (not request_time > -10000000000)

    Depuração

    Buscar logs que contêm o campo request_time com um valor numérico.

    		 
    request_time > -1000000000

    Depuração

    Buscar logs que contêm and.

    		 
    "and"
    Nota

    A palavra and é tratada como uma string literal, não como um operador.

    Depuração

    Buscar logs onde o valor do campo request method é PUT.

    		 
    "request method":PUT
    Importante

    O nome do campo request method contém um espaço. Envolva-o entre aspas duplas ("").

    Nenhum

    Buscar logs cujo tópico seja HTTPS ou HTTP.

    		 
    __topic__:HTTPS or __topic__:HTTP

    Nenhum

    Buscar logs do host 192.0.2.1.

    		 
    __tag__:__client_ip__:192.0.2.1

    O campo __tag__:__client_ip__ é um reserved field que armazena o endereço IP do host de coleta de logs.

    Importante

    Se um log for processado usando transformação de dados ou um plug-in do Logtail, a chave na tag será convertida em uma chave regular. Para consultar o log, envolva o nome do campo entre aspas duplas (""). Exemplo: "__tag__:__client_ip__":192.0.2.1.

    Nenhum

    Buscar logs que contêm 192.168.XX.XX.

    		 
    * | select * from log where key like '192.168.%.%'

    Use the SQL LIKE clause for precise fuzzy queries.

    Nenhum

    Buscar logs onde o valor do campo remote_user não está vazio.

    		 
    not remote_user:""

    Depuração

    Buscar logs onde o valor do campo remote_user está vazio.

    		 
    remote_user:""

    Depuração

    Buscar logs onde o valor do campo remote_user não é null.

    		 
    not remote_user:"null"

    Depuração

    Buscar logs que não contêm o campo remote_user.

    		 
    not remote_user:*

    Depuração

    Buscar logs que contêm o campo remote_user.

    		 
    remote_user:*

    Depuração

    Buscar logs onde o valor do campo city não é Shanghai.

    		 
    not city:Shanghai
    Nota

    Para consultar strings em chinês, ative include Chinese ao configure indexes.

    Nenhum

    Busca difusa

    Objetivo

    Instrução de busca

    Depuração

    Buscar logs que contêm palavras começando com cn.

    		 
    cn*

    Depuração

    Buscar logs onde o valor do campo region começa com cn.

    		 
    region:cn*

    Nenhum

    Buscar logs onde o valor do campo region contém cn*.

    		 
    region:"cn*"
    Nota

    Nesta instrução de busca, cn* é tratado como uma string literal. Por exemplo:

    • Se um log contiver region:cn,en e o delimitador for uma vírgula (,), o conteúdo será dividido em region, cn e en. Este log pode ser encontrado usando a instrução de busca.

    • Se um log contiver region:cnhangzhou, cnhangzhou será tratado como um único termo. Não é possível encontrar este log usando a instrução de busca.

    Nenhum

    Buscar logs que contêm uma palavra que começa com "mozi", termina com "la" e tem um único caractere entre elas.

    		 
    mozi?la

    Depuração

    Buscar logs que contêm uma palavra que começa com "mo", termina com "la" e tem zero ou mais caracteres entre elas.

    		 
    mo*la

    Depuração

    Buscar logs que contêm palavras começando com "moz" e palavras começando com "sa".

    		 
    moz* and sa*

    Depuração

    Buscar logs onde o valor do campo region termina com "hai".

    Instruções de busca não conseguem encontrar esses logs. Use a SQL LIKE clause em vez disso.

    *| select * from log where region like '%hai'

    Nenhum

    Buscar logs onde o valor do campo message começa com "get_time: 0..

    Use a cláusula like na análise SQL.

    *| select message where message like '"get_time: 0.%'

    Alternativamente, use a where instruction in Structured Process Language (SPL) para filtrar logs.

    *| where message like '"get_time: 0.%'

    Nenhum

    Busca por delimitador

    O SLS divide o conteúdo do log em palavras usando os delimitadores configurados. Os padrões são , '";=()[]{}?@&<>/:\n\t\r. Se deixar Delimiter vazio, o valor do campo será tratado como um único termo e só poderá ser encontrado por busca exata ou difusa em toda a string. Consulte Crie índices.

    Por exemplo, o valor do campo http_user_agent é Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2.

    • Se definir o delimiter como um valor vazio, o valor do campo será tratado como um único token. Consequentemente, não será possível encontrar o log usando a instrução de consulta http_user_agent:Chrome.

    • Se definir Delimiter como , '";=()[]{}?@&<>/:\n\t\r, o valor do campo será dividido nos termos Mozilla, 5.0, Windows, NT, 6.1, AppleWebKit, 537.2, KHTML, like, Gecko, Chrome, 192.0.2.0, Safari e 537.2. É possível encontrar o log usando instruções de busca como http_user_agent:Chrome.

    Importante

    Se uma palavra-chave de busca contiver um delimitador, use uma busca de frase ou uma cláusula LIKE. Por exemplo:

    • Phrase search: #"redo_index/1".

    • Cláusula LIKE: * | select * from log where key like 'redo_index/1'.

    Objetivo

    Instrução de busca

    Depuração

    Buscar logs onde o valor do campo http_user_agent contém Chrome.

    		 
    http_user_agent:Chrome

    Depuração

    Buscar logs onde o valor do campo http_user_agent contém Linux e Chrome.

    		 
    http_user_agent:Linux and http_user_agent:Chrome

    Depuração

    		 
    http_user_agent:"Linux Chrome"

    Depuração

    Buscar logs onde o valor do campo http_user_agent contém Firefox ou Chrome.

    		 
    http_user_agent:Firefox or http_user_agent:Chrome

    Depuração

    Buscar logs onde o valor do campo request_uri contém /request/path-2.

    		 
    request_uri:/request/path-2

    Depuração

    Buscar logs onde o valor do campo request_uri começa com /request, mas não contém /file-0.

    		 
    request_uri:/request* not request_uri:/file-0

    Depuração

    Encontrar uma correspondência exata para logs que contêm a frase redo_index/1.

    • #"redo_index/1"

    • | select from log where key like 'redo_index/1'

    Nota

    Uma busca de frase ou uma cláusula LIKE pode fornecer uma correspondência exata para uma frase. Uma busca exata padrão corresponde a termos individuais, como redo_index e 1.

    Nenhum

    Escape de palavras-chave

    • Em instruções de busca

      Envolva uma palavra-chave de sintaxe em "" (aspas duplas) para tratá-la como literal. Em uma consulta de campo, todas as palavras em "" são tratadas como uma única frase.

      • Se um nome de campo ou valor contiver caracteres especiais (como espaços, caracteres chineses, : ou -) ou palavras-chave de sintaxe (como and ou or), envolva-o em "". Por exemplo, uma busca por "and" encontra logs que contêm a palavra "and", que não é tratada como operador.

      • O SLS reserva as seguintes palavras para uso como operadores. Para usá-las como palavras-chave de busca, envolva-as em "": sort, asc, desc, group by, avg, sum, min, max e limit.

      • Quando os logs são processados por transformação de dados ou um plug-in do Logtail, a chave da tag é convertida em uma chave padrão. Para consultar essa chave, envolva o nome do campo em "". Exemplo: "__tag__:__client_ip__":192.0.2.1. O campo __tag__:__client_ip__ é um reserved field que armazena o IP do host de coleta de logs.

      Objetivo

      Instrução de busca

      Buscar logs onde o valor do campo request method é PUT. O nome do campo request method contém um espaço e deve ser envolvido entre aspas duplas ("").

      		 
      "request method":PUT

      Buscar logs onde o valor do campo system error description contém DB. O nome do campo system error description contém espaços.

      		 
      "system error description":DB*

      Esta consulta encontra logs onde o valor do campo region contém cn. Aqui, cn é uma string. Se o conteúdo do log for region:cn,en e o delimitador for uma vírgula (,), o conteúdo do log será dividido em region, cn e en. Use a instrução à direita para encontrar este log.

      		 
      region:"cn*"

      Buscar logs onde o valor do campo remote_user está vazio.

      		 
      remote_user:""

      Buscar logs onde o valor do campo Authorization é Bearer 12345. O valor do campo Bearer 12345 contém um espaço.

      		 
      "Authorization": "Bearer 12345"

      Analisar logs onde o valor do campo errorContent contém The body is not valid json string. O valor do campo contém espaços.

      		 
      * | select * where errorContent like '%The body is not valid json string%'

      Buscar logs coletados do host 192.0.2.1.

      		 
      "__tag__:__client_ip__":192.0.2.1

    • Em instruções analíticas

      • Se um substantivo próprio, como um nome de campo ou tabela, contiver caracteres especiais (como espaços, caracteres chineses, : ou -) ou palavras-chave de sintaxe (como and ou or), envolva-o entre aspas duplas ("").

      • Caracteres que representam uma string devem ser envolvidos entre aspas simples (''). Caracteres que não estão entre aspas ou estão entre aspas duplas ("") representam um nome de campo ou coluna. Por exemplo, 'status' representa a string "status", enquanto status ou "status" representa o campo de log status.

      Objetivo

      Instrução analítica

      Buscar logs que contêm 192.168.XX.XX.

      		 
      * | select * from log where key like '192.168.%.%'

      Calcular os 10 principais tempos de requisição.

      O nome da coluna top 10 contém um espaço e deve ser envolvido entre aspas duplas ("").

      * | SELECT max(request_time,10) AS "top 10"

      Contar o número de logs para cada status de requisição.

      O campo content está indexado como JSON. Consulte How to query and analyze an indexed JSON field.

      * | SELECT "content.status", COUNT(*) AS PV GROUP BY "content.status"

    Tipo Json

    Log de amostra

    {
  "timestamp": "2025-03-21T14:35:18Z",
  "level": "ERROR",
  "service": {
    "name": "payment-processor",
    "version": "v2.8.1",
    "environment": "production"
  },
  "error": {
    "code": 5031,
    "message": "Failed to connect to third-party API",
    "details": {
      "endpoint": "https://api.paymentgateway.com/v3/verify",
      "attempts": 3,
      "last_response": {
        "status_code": 504,
        "headers": {
          "Content-Type": "application/json",
          "X-RateLimit-Limit": "100"
        }
      }
    }
  },
  "user": {
    "id": "usr-9a2b3c4d",
    "session": {
      "id": "sess-zxy987",
      "device": {
        "type": "mobile",
        "os": "Android 14",
        "network": "4G"
      }
    }
  },
  "trace": {
    "correlation_id": "corr-6f5e4d3c",
    "span_id": "span-00a1b2"
  }
}

    Configuração de índice

    Crie índices antes de consultar logs. Para verificar sua configuração de índice, siga estas etapas.

    1. Na página query and analysis do logstore, selecione Index Attributes > Attributes.

    2. No painel exibido, verifique se os índices de campo estão configurados.

    Exemplos

    Objetivo

    Instrução de busca

    Buscar logs que registram erros de requisição.

    		 
    level:error

    Buscar todas as requisições do usuário cujo ID é usr-9a2b3c4d.

    		 
    user.id:usr-9a2b3c4d

    Buscar logs do usuário usr-9a2b3c4d com um código de status de erro 504.

    		 
    user.id:usr-9a2b3c4d and error.details.last_response.status_code :504

    FAQ

    A consulta não retorna logs

    What to do if a query returns no logs

    Problemas com logs JSON

    FAQ about querying and analyzing JSON logs

    Solucionar erros de consulta

    Tópicos relacionados