Splunk rex命令，带有大括号，圆括号，句点和引号

Question

我在splunk上遇到rex命令问题。 我的查询输出如下。

  

{＆＃34;（001）NULL.COUNT（1）.NUMBER＆＃34;：＆＃34; 12345＆＃34;}

我希望仅提取值12345，但此时，我有rex命令，它返回＆＃34; {"(001) NULL.COUNT(1).NUMBER": "12345"}＆＃34;。

| rex field=_transfers "(001) NULL.COUNT(1).NUMBER": "(?<value>.*)"

Answer 1

引号必须在rex命令中转义。此外，如果regex字符串中的括号不属于捕获组，则必须对其进行转义。试试| rex field=_transfers "\\(001) NULL.COUNT\\(1).NUMBER\\": \\"(?<value>.*)"。