Splunk 错误指定至少一个命名组

Question

我正在执行下面的 splunk 查询。

index=api sourcetype=api-warn environ::api-prod* 
| bin _time span=1h
| rex mode=sed field=service_name "s#\..*$##" | rex field=requestPath "https://api.com.org.net/(abc)/(def)"
| stats count(service_name) by _time,service_name

出现以下错误：

Error in 'rex' command: The regex 'https://api.com.org.net/(abc)/(def)' does not extract anything. It should specify at least one named group. Format: (?<name>...).

假设其中一个网址是：

https://api.com.org.net/abc/def/some_number/?key=value&key=value

我的正则表达式：

https:\/\/(<api\.com\.org\.net\/abc\/def>*)

我的正则表达式与网址不匹配，有人可以帮忙吗。

不确定这里出了什么问题。我正在使用正则表达式来匹配 url' 中的 url abc/def 部分。不知道出了什么问题。有人可以指导我正确的方向吗？

Answer 1

rex

命令至少需要一个

(?<fieldname>...)

形式的捕获组，其中“fieldname”是 Splunk 字段名称，“...”是正则表达式。如果您只想过滤数据而不是提取字段，请改用

regex

命令。