Splunk查询无法使用spath命令提取XML标签内的字符串

时间：2018-10-03 16:09:43

标签： xml splunk

我正在使用以下查询：

index=itx "PAD =" | dedup BOC | spath output=Channel path=AsRunMessage.Header.Channel  | table BOC, channel

这会导致事件具有较大的xml内容。我需要从标签内部提取字符串“ ITX1546”。 另外，我需要创建一个包含唯一BOC值的不同行的表。 未填充“通道”字段。 这是XML结构：

enter image description here

有什么想法吗？谢谢

1 个答案:

答案 0 :(得分：0)

我讨厌XML，所以我使用spath的程度不足以对此做出回应。但是，您可能不愿使用rex（尽管正则表达式不是解析XML的最佳方法）。这个未经测试的查询应该可以帮助您入门。

index=itx "PAD =" | rex "<BOC [^>]+>(?<BOC>[^<]+)[\s\S]+<Channel [^>]+>(?<Channel>[^<]+)" 
| stats values(Channel) by BOC
相关问题
最新问题