如何搜索由我从变量中获得的单词组成的所有事件

Question

考虑我有 8 个事件。

1. txn 开始购买 fruit.mango
2. 买水果芒果的钱
3. 收到水果.芒果
4. txn 完成 fruit.mango
5. 顾客想买苹果
6. 为苹果赚钱
7. 送苹果给客户
8. txn 开始为 veegtable.carrot

我从我的 splunk 仪表板中得到一个变量“名称”。这个名字实际上是一个由空格分隔的单词组成的字符串，或者只是一个单词。对于前。它可以是“apple”或“txn started for fruit.mango”。我想做的是编写一个 splunk 查询，它将帮助我首先提取文章名称，然后使用该文章名称搜索整个事件空间，然后进行进一步处理。

例。如果我得到 $name= 'txn started for fruit.mango'。我想提取芒果，然后运行查询，以便获得所有包含单词芒果的事件。之后，我创建了一个交易步骤表。我用

index=.. $name | if(match($name, "\s"), mvindex(split($name, "."), 1), $name)

提取名称，但随后我只得到一个事件匹配，即

txn started for fruit.mango

，其他也有“芒果”的事件，如

received fruit.mango

不匹配。

我该怎么做？非常感谢任何帮助，谢谢。