指标筛选条件、订阅筛选条件、筛选日志事件和 Live Tail 的筛选条件模式语法

下面的代码段显示了单个字词筛选条件模式的示例，该模式返回其中的消息包含字词 ERROR 的所有录入事件。

ERROR
                            

此筛选条件模式匹配日志事件消息，例如以下内容：

下面的代码段显示了多个字词筛选条件模式的示例，该模式返回其中的消息包含字词 ERROR 和 ARGUMENTS 的所有录入事件。

ERROR ARGUMENTS
                            

筛选条件返回录入事件消息，例如以下内容：

筛选条件模式不会返回以下日志事件消息，因为它们不包含筛选条件模式中指定的两个字词。

您可以使用模式匹配来创建返回包含可选字词的日志事件的筛选条件模式。在您想匹配的字词前放置问号 ("?")。下面的代码片段将显示筛选条件模式的一个示例，它将返回消息中包含单词 ERROR 或 ARGUMENTS 的所有日志事件。

?ERROR ?ARGUMENTS
                            

此筛选条件模式匹配日志事件消息，例如以下内容：

?ERROR ?ARGUMENTS REQUEST
                                

下面的代码段显示了筛选条件模式的示例，该模式返回其中的消息包含精确短语 INTERNAL SERVER ERROR 的录入事件。

"INTERNAL SERVER ERROR"
                            

此筛选条件模式返回以下日志事件消息：

您可以创建筛选条件模式，该模式返回录入事件，其中的消息包含一些字词并排除其他字词。在您想排除的字词前放置减号 ("-")。下面的代码段显示了筛选条件模式的示例，该模式返回其中的消息包含字词 ERROR 并排除字词 ARGUMENTS 的录入事件。

ERROR -ARGUMENTS
                            

此筛选条件模式返回日志事件消息，例如以下内容：

此筛选条件模式不会返回以下日志事件消息，因为它们包含单词 ARGUMENTS。

您可以用双引号匹配录入事件中的所有内容。下面的代码段显示了筛选条件模式的示例，该模式返回所有录入事件。

" "
                            

您可以创建筛选条件模式以匹配 JSON 日志事件中的字符串。以下代码段显示了基于字符串的筛选条件模式的语法示例。

{ PropertySelector EqualityOperator String }
                            

用大括号（“{}”）括住筛选条件模式。基于字符串的筛选条件模式必须包含以下部分：

以下代码段包含筛选条件模式的示例，显示了可以如何格式化筛选条件模式，以将 JSON 字词与字符串匹配。

{ $.eventType = "UpdateTrail" }
                            

您可以创建筛选条件模式以匹配 JSON 日志事件中的数字值。以下代码段显示了与数字值匹配的筛选条件模式的语法示例。

{ PropertySelector NumericOperator Number }
                            

用大括号（“{}”）括住筛选条件模式。与数字值匹配的筛选条件模式必须包含以下部分：

以下代码段包含示例，显示了可以如何格式化筛选条件模式，以将 JSON 字词与数字值匹配。

// Filter pattern with greater than symbol       
{ $.bandwidth > 75 }      
// Filter pattern with less than symbol
{ $.latency < 50 }
// Filter pattern with greater than or equal to symbol
{ $.refreshRate >= 60 } 
// Filter pattern with less than or equal to symbol
{ $.responseTime <= 5 }
// Filter pattern with equal sign
{ $.errorCode = 400} 
// Filter pattern with not equal sign
{ $.errorCode != 500 }
// Filter pattern with scientific notation and plus symbol
{ $.number[0] = 1e-3 } 
// Filter pattern with scientific notation and minus symbol
{ $.number[0] != 1e+3 }

此筛选条件模式与属性 "eventType" 中的字符串 "UpdateTrail" 匹配。

{ $.eventType = "UpdateTrail" }
                            

此筛选条件模式包含通配符并与属性 "sourceIPAddress" 匹配，因为它不包含带有前缀 "123.123." 的数字。

{ $.sourceIPAddress != 123.123.* }
                            

此筛选条件模式与数组 "arrayKey" 中的元素 "value" 匹配。

{ $.arrayKey[0] = "value" }
                            

此筛选条件模式与属性 "eventType" 中的字符串 "Trail" 匹配。

{ $.eventType = %Trail% }
                            

筛选条件模式包含与数组 "arrayKey" 中的元素 "value" 匹配的正则表达式。

{ $.arrayKey[*] = %val.{2}% }
                            

此筛选条件模式包含与属性 "sourceIPAddress" 中的元素 "111.111.111.111" 匹配的正则表达式。

{ $.* = %111\.111\.111\.1[0-9]{1,2}% }
                            

{ $.['cluster.name'] = "c" }
                            

您可以创建筛选条件模式，它们使用 IS 变量匹配 JSON 日志中的字段。IS 变量可以匹配包含值 NULL、TRUE 或 FALSE 的字段。下面的筛选条件模式返回 JSON 日志，其中 SomeObject 的值为 NULL。

{ $.SomeObject IS NULL }
                            

您可以使用 NOT EXISTS 变量创建筛选模式，以返回日志数据中不包含特定字段的 JSON 日志。下面的筛选条件模式使用 NOT EXISTS 返回不包含字段 SomeOtherObject 的 JSON 日志。

{ $.SomeOtherObject NOT EXISTS }
                            

此筛选条件模式包含复合表达式，该表达式匹配 "user" 中的 "id"（数字值为 1）和 "users" 数组中第一个元素中的 "email"（字符串为 "John.Doe@example.com"）。

                                
{ ($.user.id = 1) && ($.users[0].email = "John.Doe@example.com") }

                            

此筛选条件模式包含复合表达式，匹配 "user" 中的 "email"（字符串为 "John.Stiles@example.com"）。

                                
{ $.user.email = "John.Stiles@example.com" || $.coordinates[0][1] = "nonmatch" && $.actions[2] = "nonmatch" }

                            

此筛选条件模式包含无法找到匹配项的复合表达式，因为该表达式与 "actions" 中的第三个操作不匹配。

                                
{ ($.user.email = "John.Stiles@example.com" || $.coordinates[0][1] = "nonmatch") && $.actions[2] = "nonmatch" }

                            

此筛选条件模式包含无法找到匹配项的复合表达式，因为该表达式与 "users" 中的第一个属性不匹配，或 "actions" 中的第三个操作不匹配。

{ ($.user.id = 2 && $.users[0].email = "nonmatch") || $.actions[2] = "GET" }
                            

以下代码段显示了以空格分隔的录入事件，其中包含七个字段：ip、user、username、timestamp、request、status_code 和 bytes。

                                    
127.0.0.1 Prod frank [10/Oct/2000:13:25:15 -0700] "GET /index.html HTTP/1.0" 404 1534

                                

要创建与以空格分隔的日志事件中的字词匹配的筛选条件模式，请用方括号（“[]”）将筛选条件模式括起来，并以不同名称指定各个字段，用逗号 （“,”）隔开。以下筛选条件模式解析七个字段。

                                    
[ip=%127\.0\.0\.[1-9]%, user, username, timestamp, request =*.html*, status_code = 4*, bytes]

                                

您可以使用数字运算符（>、<、=、!=、>= 或 <=）和星号 (*) 作为通配符或正则表达式，用于为筛选条件模式提供条件。在示例筛选条件模式中，ip 使用与 IP 地址范围 127.0.0.1 – 127.0.0.9 匹配的正则表达式，request 包含通配符，表示它必须提取以 .html 开头的值，status_code 包含通配符，表示它必须提取以 4 开头的值。

如果您不知道在以空格分隔的录入事件中解析的字段数量，则可以使用省略号 (...) 来引用任何未命名的字段。省略号可以根据需要引用尽可能多的字段。以下示例显示带省略号的筛选条件模式，该筛选条件表示之前的示例筛选条件模式中显示的前四个未命名字段。

[..., request =*.html*, status_code = 4*, bytes]
                                

您还可以使用逻辑运算符 AND (&&) 和 OR (||) 来创建复合表达式。以下筛选条件模式包含复合表达式，该表达式表示 status_code 的值必须是 404 或 410。

[ip, user, username, timestamp, request =*.html*, status_code = 404 || status_code = 410, bytes]
                                

以下以空格分隔的筛选条件模式会返回日志事件，其中事件中的第一个单词是 ERROR。

[w1=ERROR, w2]
                                

您可以使用逻辑运算符 AND（“&&”）和 OR（“||”）创建包含条件的以空格分隔的筛选条件模式。以下筛选条件模式会返回日志事件，其中事件中的第一个单词是 ERROR 或 WARNING。

[w1=ERROR || w1=WARNING, w2]
                                

您可以创建以空格分隔的筛选条件模式，该筛选条件模式会返回排除一个或多个字词的日志事件。在您想排除的字词前放置不等号 ("!=")。以下代码段显示了筛选条件模式的示例，该筛选条件模式返回第一个字词不是 ERROR 和 WARNING 的日志事件。

[w1!=ERROR && w1!=WARNING, w2]
                                

以下代码段显示了筛选条件模式的示例，该筛选条件模式使用正则表达式匹配资源 URI 中的顶级项目。

                                    
[logLevel, date, time, method, url=%/service/resource/[0-9]+$%, response_time]

                                

以下代码段显示了筛选条件模式的示例，该筛选条件模式使用正则表达式匹配资源 URI 中的子级项目。

                                    
[logLevel, date, time, method, url=%/service/resource/[0-9]+/part/[0-9]+$%, response_time]