我在一个请求正文中多次具有相同的字段,因此需要查找每次出现的值。类似于subTypeCodeId字段。结果应该具有subTypeCodeId = 2subTypeCodeId = 3
{
"Items": [
{
"emailId": "@stny.com",
"item": {
"subTypeCodeId": "2"
}
},
{
"emailId": "@comcast.com",
"item": {
"subTypeCodeId": "3"
}
}
]
}
splunk查询:index =“ gcp_prod_ecomm_cx_wallet”“ 1570081534220”“ API_NAME:wallet.addItemsToWalletBulk” | rex“ subTypeCodeId \ x5C \”:\ x5C \“(?? *)\”“
使用max_match
的rex
选项。它将使subTypeCodeId成为包含所有值的多值字段。
index="gcp_prod_ecomm_cx_wallet" "1570081534220" "API_NAME:wallet.addItemsToWalletBulk"
| rex max_match=0 "subTypeCodeId\x5C\":\x5C\"(?<subTypeCodeId>.*)\""
您可能还想研究可以解析json数据的spath
命令。