(纠正错误理解) Splunk 数据解析json

以前的理解：

今天客户发现 splunk 的数据虽然是key : value 格式的，但是splunk 对key 的字段是不能设别的。

下面通过脚本对文件进行处理后，可以实现 (主要是头尾要是 {} )：

1: 对文件块进行去括号

echo $data | awk 'BEGIN{ FS="{" ; RS="}" } NF>1 { print $NF }' > /tmp/abc/aaa_01.json

2: 对文件头加 “{ " 和 "}"

sed -e 's/^/{ /g' /tmp/abc/aaa_01.json > /tmp/abc/aaa_02.json
sed -e 's/$/ }/g' /tmp/abc/aaa_02.json > /tmp/abc/aaa.json

3: 登入splunk 看看：

现在的理解：

还是要专业的理解json 格式：

并不是所谓的 加上 {}, 而是要格式正确：

解决方法&