Simple Log Service:Comparação de cenários entre SPL e SQL

Cenário

Instrução SQL

Instrução SPL

Filtragem de dados

selecione * where Type='write'

| where Type='write'

Processamento e filtragem de campos

Selecione um campo pelo nome exato e renomeie-o.

selecione "__tag__:node" as node, path

1. Selecione um campo pelo nome exato e renomeie-o.

   | project node="__tag__:node", path

2. Selecione campos por padrão.

   | project -wildcard "__tag__:*"

3. Renomeie um campo sem afetar os demais.

   | project-rename node="__tag__:node"

4. Remova campos por padrão.

   | project-away -wildcard "__tag__:*"

Padronização de dados

(Chamadas de função SQL)

Converta um tipo de dado e analise um valor de tempo.

selecione 
  cast(Status as BIGINT) as Status, 
  date_parse(Time, '%Y-%m-%d %H:%i') AS Time

Converta um tipo de dado e analise um valor de tempo.

| extend Status=cast(Status as BIGINT), extend Time=date_parse(Time, '%Y-%m-%d %H:%i')

Extração de campos

• Extração baseada em expressão regular

  selecione 
    regexp_extract(protocol, '\w+')  as scheme,
    regexp_extract(protocol, '\d+')  as version

• Extração de dados JSON

  selecione 
    json_extract(content, '$.0.time')  as time,
    json_extract(content, '$.0.msg')  as msg

1. Extração via regex: correspondência única

   | parse-regexp protocol, '(\w+)/(\d+)' as scheme, version

2. Extração de dados JSON: expansão completa

   | parse-json -path='$.0' content

3. Extração de dados CSV

   | parse-csv -delim='^_^' content as ip, time, host