Question

我是sqlite3的新手，我创建了一个名为result的sqlite3数据库，该数据库具有_time表，该表根据我从Splunk查询的纪元时间列出IP地址。我正在尝试从sqlite3数据库中获取基于_time（纪元时间）表的数据。

这是sqlite3数据库中列出的_time和IP地址的副本：

1535139799|2002:8672:5ebf::8672:5ebf
1535139799|2002:8672:5ebf::8672:5ebf
1535131073|2002:8672:ba8a::8672:ba8a
1535131058|2002:8672:ba8a::8672:ba8a
1535131058|2002:8672:ba8a::8672:ba8a
1535131413|2002:8672:5ebf::8672:5ebf
1535131413|2002:8672:5ebf::8672:5ebf
1535120613|2002:8672:5ebf::8672:5ebf
1531944594|41.212.170.179
1531944594|38.108.250.243

问题是，无论我尝试过什么命令，它总是输出所有IP地址。我只需要x天数（30天前）中的IP地址。我看过online，并遵循了许多示例，但仍然没有成功。我也看过documentation。我尝试过：

SELECT * FROM result WHERE _time < (DATE('now', '-5 day'));
SELECT * FROM result WHERE _time > (DATE('now', '-5 days')); 
SELECT * FROM result WHERE _time > (SELECT DATE('now', '-7 day'))

我已经更改了“天数”，但是命令仍然获取所有列出的IP地址。我只需要从x天前（10天前或30天前）获取IP地址。我假设sqlite3无法读取表中的纪元时间？

我在这个问题上困扰了几天。我将继续寻找解决方案，感谢您的反馈！

Answer 1

基本上，您必须将比较参数的一侧转换为与另一参数相同的类型。

您可以使用：-

将调整后的立即（右手参数）转换为秒。

srtftime('%s','now',your_adjustment) or you could adjust the

或者您可以使用

将 _time 列转换为日期（yyyy-mm-dd）格式

date(_time,'unixepoch')

使用您的第一个示例，则可以是：-

SELECT * FROM result WHERE _time < strftime('%s','now', '-5 day');

或者可能是：-

SELECT * FROM result WHERE date(_time,'unixepoch') < date('now', '-5 day');

sqlite3根据纪元时间获取数据

1 个答案: