11、Splunk搜索扩展与应用开发指南

Splunk搜索扩展与应用开发指南

1. 外部命令的使用

Splunk搜索语言功能强大，但有时仅依靠搜索语言来实现某些逻辑可能会很困难甚至无法实现。为解决这一问题，Splunk允许使用Python编写外部命令。产品中自带了一些命令，同时在 http://splunk-base.splunk.com/ 上的应用程序里也有许多可用命令。

可以尝试使用一些自带的命令，命令文档可在 http://docs.splunk.com/ 与其他搜索命令文档一同找到。通过搜索“All search commands”能获取所有内部和外部命令的列表。

使用外部命令比使用原生搜索语言要慢得多，特别是在处理大量数据时。如果可以使用 rex 或 eval 构建所需字段，执行速度会更快，并且对Splunk服务器的负载也更小。

2. 从XML中提取值

机器数据常常以XML格式记录。Splunk可以对这些数据进行索引，但它本身并不原生支持XML。虽然XML并非理想的日志格式，但通常可以很容易地进行解析。搜索应用中包含两个命令，可帮助从XML中提取字段。

2.1 xmlkv命令

xmlkv 使用正则表达式从标签名创建字段。例如，对于以下XML：

<doc><a>foo</a><b>bar</b></doc>

xmlkv 会生成