Simple Log Service：掃描（Scan）查詢文法

• 原始欄位：標識 [R]，適用於掃描搜尋。

• 索引欄位：標識 [I]，適用於索引搜尋。

[I] __topic__: nginx-access-log
[I] Status: 200
[I] Host: api.abc.com
[R] Method: PUT
[R] ClientIp: 192.168.1.1
[R] Payload: {"Item": "1122", "UserId": "112233", "Operation": "AddCart"}
[R] BeginTime: 1705029260
[R] EndTime: 1705028561
[R] RT: 87
[R] Uri: /request/path-3/file-1
[R] UserAgent: Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_5; ar) AppleWebKit/533.19.4 (KHTML, like Gecko) Version/5.0.3 Safari/533.19.4

按照不同條件進行過濾​

• 等值比較。

  Status: 200 | where ClientIp = '192.168.1.1'

• 大小寫不敏感搜尋。

  __topic__: nginx-access-log | where lower(Method) != 'put'

• 模糊比對。

  Status: 200 | where UserAgent like '%Macintosh%'

• 數值比較。

  注意欄位類型預設是varchar，進行數值比較時要先將類型轉換成bigint。

  Status: 200 |  where cast(RT as bigint) > 50

• 正則匹配。

  # 找出包含"path-數字"的Uri
  Status: 200 | where regexp_like(Uri, 'path-\d+')

計算出新的欄位

​通過extend指令，可以從已有的欄位資訊中，計算出新的欄位。

• 從正則提取欄位。

  # 提取出Uri欄位裡的檔案名稱編號
  * not Status: 200 | extend fileNumber=regexp_extract(Uri, 'file-(\d+)', 1)

• 從JSON提取欄位。

  Status:200 | extend Item = json_extract_scalar(Payload, '$.Item')

• 按照分隔字元提取。

  Status:200 | extend urlParam=split_part(Uri, '/', 3)

• 根據多個欄位值計算出新的欄位。

  #根據BeginTime和EndTime計算出時間差
  Status:200 | extend timeRange = cast(BeginTime as bigint) - cast(EndTime as bigint)

保留、移除、重新命名欄位​

• 僅保留某些欄位（移除所有其他欄位）。

  Status:200 | project Status, Uri

• 移除某些欄位（其它欄位保留）。

  Status:200 | project-away UserAgent

• 重新命名欄位。

  Status:200 | project-rename Latency=RT

展開非結構化資料

• 展開JSON中的所有欄位。

  #過濾Payload非空的，並且將所有的json欄位展開
  __topic__: nginx-access-log | where Payload is not null | parse-json Payload

• 將JSON欄位展開，丟棄原有的JSON欄位。

  status:200 
  | parse-json body 
  | project-away body

• 正則提取出多個欄位。

  Status:200 | parse-regexp Uri, 'path-(\d+)/file-(\d+)' as pathIndex, fileIndex

多級管道級聯

以上樣本中所有操作，都可以在同一個查詢語句中，通過多級管道級聯，執行順序是從前往後依次執行。

Status:200 
| where Payload is not null 
| parse-json Payload 
| project-away Payload 
| where Host='api.qzzw.com' and cast(RT as bigint) > 80 
| extend timeRange=cast(BeginTime as bigint) - cast(EndTime as bigint)
| where timeRange > 500
| project UserId, Uri