splunk - 获取与正则表达式匹配的明显字段值

Question

我这样做 -

<<>> | search $country$ $campaign_name$ event_name=email OR event_name=event|stats dc(person_id)

现在在最后而不是person_id的dc我需要一个与正则表达式匹配的person_id计数 -

<<>> | search $country$ $campaign_name$ event_name=email OR event_name=event|stats dc(regex person_id="^(.?$|[^W].+|W[^F].*)" )

我在dc（）中使用正则表达式尝试了以上查询，但它中断了。任何帮助将不胜感激。

Answer 1

这是一个古老的问题，但是对于其他关心的人来说，这应该可以带来预期的结果。

<< >> |搜索$ country $ $ campaign_name $ event_name = email或event_name = event | stats dc（eval（match（person_id，“ ^（。？$ | [^ W]。+ | W [^ F]。*）”））））