O SPL oferece suporte a dois tipos de conjuntos de dados: conjuntos nomeados, que permitem reutilização em várias expressões, e conjuntos sem nome, cuja saída é gerada diretamente.
Categorias
Conjuntos de dados nomeados
Utilize a instrução .let para definir um conjunto de dados nomeado. Para referenciá-lo nas expressões SPL subsequentes, use o símbolo $.
Conjuntos de dados sem nome
Qualquer expressão SPL que não utilize a instrução .let gera um conjunto de dados sem nome. O resultado desse tipo de expressão é enviado diretamente para a saída.
Exemplos
O exemplo a seguir produz as seguintes saídas:
Conjunto de dados nomeado: O conjunto chamado 'valid' contém os registros em que o campo mode possui o valor 'a'.
Conjunto de dados sem nome: Este conjunto inclui os dados que não possuem o campo mode ou que o contêm com o valor 'b'.
-- Filter for data that does not contain the mode field. This generates an unnamed dataset and is output directly.
*
| where mode is null;
-- Filter for data that contains the mode field and define it as the named dataset 'src'. This is not output.
.let src = *
| where mode is not null;
-- Use the named dataset 'src' as input. Define the result as the dataset 'valid'. This is not output.
.let valid = $src
| where mode = 'a'
| parse-regexp content, '(\S+)\s+(\S+)\s+(\S+)' as x, y, z
| project x, y, z;
-- Output the named dataset 'valid'.
$valid;
-- Use the named dataset 'src' as input. This generates an unnamed dataset and is output directly.
$src
| where mode = 'b'
| parse-csv content as u, v
| project u, v;