splunk - splunk 根据 json 属性排除结果

Question

当我使用这个搜索运算符search "response.header.status"!=200 时，splunk 将只包含response.header.status路径存在的结果。

所以这里的搜索参数隐式地强制要求该属性存在，而不管值是多少

是否有一种搜索变体可以让我根据路径的值排除结果，但如果路径不存在，仍然包含结果？

标签： splunksplunk-query

Answer 1

该构造的foo != bar意思是“显示“foo”字段没有值“bar”的事件。这意味着“foo”字段必须存在。

要查找“foo”字段不存在或具有“bar”以外的值的事件，请使用以下非直观搜索：

search NOT "response.header.status" = 200