При извлечении данных с помощью rex в splunk к данным добавляется косая черта

У меня есть журнал, который выглядит так:

msg: time=2017-10-25.15:53:07:827 | msg2=somedata:sometitle[{"key1":"value1","key2":"value2"}]

Я хочу получить значение 2, и вот мой запрос splunk:

index="some_index" | rex "key2\s*(?<data2>.+)\s*"

вот извлеченный data2: \',\'value2\'\'

Я не мог понять, как исключить косые черты и просто получить значение2. Пожалуйста помоги. Благодарю.


person arn-arn    schedule 22.10.2018    source источник


Ответы (1)


Вам просто нужно настроить строку регулярного выражения, чтобы пропустить кавычки.

Попробуйте ... | rex field=msg2 "key2\":\"(?<data2>[^\"]+)" | ...

person RichG    schedule 23.10.2018
comment
RichG, большое СПАСИБО. - person arn-arn; 23.10.2018