azure-data-explorer - 如何在 Azure 数据资源管理器 (kusto) 中从一个表查找值到另一个表

Question

我是 Kusto 语言的新手，但在 SQL 方面经验丰富。所以也许我在以完全错误的方式做事。

我正在尝试创建需要检查一个表中的值是否存在于另一个表中的查询。

像这样的东西：

let T1 = datatable(id: int, ss:dynamic)
[
    1, dynamic(["qwe", "rty"]),
    2, dynamic(["uio", "pas"]),
    3, dynamic(["dfg", "hjk"]),
];
let T2 = datatable(id:int, s:string)
[
    1, "rty",
    2, "abc",
    3, "hjk"
];
T2
| join (T1) on id
| extend e=case(s has_any (ss),"Yes","No");

但是出现错误“错误 has_any(): failed to cast argument 2 to scalar constant”。

有办法吗？

功能更好，如下所示：

let E = (i_id: int, i_s: string)
{
T1 | where id==i_id | project e=case(i_s has_any (ss),"Yes","No")
};
T2
| extend e=E(id,s);

请指教。

标签： azure-data-explorerkql

Answer 1

这里有几个选项供您考虑：

1.

let T1 = datatable(id: int, ss:dynamic)
[
    1, dynamic(["qwe", "rty"]),
    2, dynamic(["uio", "pas"]),
    3, dynamic(["dfg", "hjk"]),
]
;
let T2 = datatable(id:int, s:string)
[
    1, "rty",
    2, "abc",
    3, "hjk"
]
;
T2
| join (T1 | mv-expand ss to typeof(string)) on id
| summarize e = case(countif(s == ss) > 0, "Yes", "No") by id, s

2.

let T1 = datatable(id: int, ss:dynamic)
[
    1, dynamic(["qwe", "rty"]),
    2, dynamic(["uio", "pas"]),
    3, dynamic(["dfg", "hjk"]),
]
;
let T2 = datatable(id:int, s:string)
[
    1, "rty",
    2, "abc",
    3, "hjk"
]
;
T2
| join T1 on id
| project id, s, e = case(indexof(tostring(ss), s) > 0, "Yes", "No")
// not necessarily accurate, depending on the values in the actual data