Splunk Rex查询以过滤消息

Question

我有以下格式的Splunk日志：

{"Apple":
    {"message":"abcdefgh.ijkl","code":"200"}
} 

我想分别过滤消息“ abcdefgh.ijkl”和代码。

Answer 1

在查询中尝试使用此rex命令。

... | rex "message\":\"(?<message>[^\"]+)\",\"code\":\"(?<code>\d+)" | ...