如何使用rex命令提取两个字段并在一个搜索查询中绘制两者的计数？

Question

我有一个日志声明，如2017-06-21 12：53：48,426 INFO transaction.TransactionManager.Info:181 - {＆＃34; message＆＃34;：{＆＃34; TransactionStatus＆＃34;：true， ＆＃34; TransactioName＆＃34;：＆＃34; removeLockedUser-1498029828160＆＃34;}}。 如何提取TransactionName和TranscationStatus并以表格形式打印TransactionName及其计数。

我尝试了以下查询，但没有取得任何成功。它总是给我0。

sourcetype = 10.240.204.69＆＃34; TransactionStatus＆＃34; | rex field = _raw＆＃34; .TransactionStatus（？。）＆＃34; | stats count（（status = true））as success_count

Answer 1

解决了这个问题：

| makeresults  | eval _raw =“2017-06-21 12：53：48,426 INFO transaction.TransactionManager.Info:181 - {\”message \“：{\”TransactionStatus \“：true，\”TransactioName \“：\”removeLockedUser-1498029828160 \ “}}”  |将评论重命名为“以上所有内容都会生成示例事件数据;以下所有内容都是您的解决方案”  | rex“{\”TransactionStatus \“:(？[^，] ），\”TransactioName \“：\”（？[^ \“] ）\”“  |图表计数OVER TransactioName BY TransactionStatus