如何解决如何在 Splunk 中将被 rex 命令替换的文本计为一个
我有一个 Splunk 查询来根据错误百分比获取前 5 个 API。下面是它的查询
index=myaccount sourcetype=myaccountweb-master Response status=* url=* |
chart count over url by status | addtotals
| foreach * [
| eval <<FIELD>> = if('<<FIELD>>'==0,"-",'<<FIELD>>')
| eval p_<<MATCHSTR>> =
if(isnull(tonumber('<<FIELD>>')),'<<FIELD>>',round(('<<FIELD>>'/Total)*100,2))
| eval p_<<MATCHSTR>> = if('p_<<MATCHSTR>>'<1,"< 1",'p_<<MATCHSTR>>')
| eval <<FIELD>> = if("<<FIELD>>"=="Total",case('<<FIELD>>'=="-","-
",tonumber('<<FIELD>>')>1,'<<FIELD>>'." (".p_<<MATCHSTR>>."%)",1=1,'<<FIELD>>')) ]
| fields - p_* | eval url=lower(url) | rex mode=sed field=url
"s/account\/(\d+)\//account\/me\//" | rex mode=sed field=url
"s/\d+account.\w+|\d+fm|\d+fs\d+/*/g" | rex mode=sed field=url "s/..:..:..:..:..:../*/" | rex
mode=sed field=url "s/accounts\?ip=.*/accounts?ip=__/"| rex mode=sed field=url "s/[^\/]
{30,}/*/g" | rex mode=sed field=url "s/(\d|\.){8,}/*/g"
| rex field="500" "\d+\s\((?<perc>.*)%\)" | sort - perc | where perc>10 | head 5
我有 URL 的用户 ID 介于两者之间,并用 * 替换这些用户 ID 我使用了 rex 命令,它可以将用户 ID 替换为 *
但问题是它单独计算它们,因为用户 ID 对 URL 的每次点击都不同。因此,我的 top5 API 命中输出不同。
例如 URL:/account/user/JHWERTYQMNVSJAIP/email,其中 JHWERTYQMNVSJAIP 是用户 ID,并由 * 替换
我的查询低于输出
url 200 201 204 400 401 500
/account/user/*/email - - - - - 5 (100.00%)
/account/user/*/email - - - - - 4 (100.00%)
/account/user/*/email - - - - - 4 (100.00%)
尽管所有这些 URL 实际上都是一个,并且预期的输出应该像添加 5+4+4 并像这样显示一次
url 200 201 204 400 401 500
/account/user/*/email - - - - - 13 (100.00%)
由于每个用户 ID 不同,所以单独计算。对此的任何帮助将不胜感激。提前致谢
解决方法
您的想法是正确的,但要使数字正确,必须在之前完成网址的规范化,数字由 chart
命令计算。
版权声明:本文内容由互联网用户自发贡献,该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容, 请发送邮件至 dio@foxmail.com 举报,一经查实,本站将立刻删除。