如何在Splunk中转义值？

Question

Splunk最佳实践说使用键/值对.它还表示如果值包含空格,则将值包装在引号中.所以,假设我有一个原始值Fred Smith:

my_key=name my_value="Fred Smith"

没关系,我已经添加了引号.但是,如果我有一个原始值" Fred Smith"(注意已经存在的引号和开头存在空格)怎么办- 这会产生:

my_key=name my_value="" Fred Smith""

这将被视为:

my_key=name my_value=""
my_key=Fred my_value=Smith""

在Splunk值中转义引号的最佳做法是什么？

Answer 1

如果您控制数据格式,您的选项包括:

• 在所有内容周围添加单引号.
• 使用双引号,但使用反斜杠转义内部引号
• 使用JSON表示数据而不是KV对的扁平字符串.JSON语法处理此引用案例(不添加额外的引号),如果需要,还可以添加嵌套结构.

您可以通过设置来控制搜索时字段提取行为KV_MODE.你可能会发现这样auto_escaped做会有所帮助.请参阅Splunk Knowledge Manager手册中的搜索时间数据设置KV_MODE.