検索構文

一般的な検索例

request_method:GET and status in [200 299]

request_method:GET not region:cn-hangzhou

request_method:GET or request_method:POST

not request_method:GET

(request_method:GET or request_method:POST) and status in [200 299]

(request_method:GET or request_method:POST) not status in [200 299]

request_method:GET and status in [200 299] not request_time>=60

request_time:60

request_time=60

request_time>=60 and request_time<200

request_time in [60 200)

request_time:*

(request_time:"") or (not request_time > -10000000000)

request_time > -1000000000

"and"

"request method":PUT

__topic__:HTTPS or __topic__:HTTP

__tag__:__client_ip__:192.0.2.1

* | select * from log where key like '192.168.%.%'

not remote_user:""

remote_user:""

not remote_user:"null"

not remote_user:*

remote_user:*

not city:Shanghai

高度な検索例

• あいまい検索

  予期される検索結果	検索文	デバッグ

  予期される検索結果	検索文	デバッグ
  特定の単語を含むログ。単語は cn で始まります。	cn*	デバッグ
  region フィールドの値が cn で始まるログ。	region:cn*	なし
  region フィールドの値に cn* が含まれているログ。	region:"cn*" 説明 この検索文では、cn* は完全な文字列です。例： ログの内容が region:cn*,en で、デリミタがカンマ（,）の場合、Simple Log Service はログの内容を region、cn*、en に分割します。検索文を使用してログを検索できます。 ログの内容が region:cn*hangzhou の場合、Simple Log Service は cn*hangzhou を全体として扱います。この場合、検索文を使用してログを検索することはできません。	なし
  特定の単語を含むログ。単語は mozi で始まり、la で終わり、mozi と la の間に 1 文字が含まれています。	mozi?la	デバッグ
  特定の単語を含むログ。単語は mo で始まり、la で終わり、mo と la の間にゼロ個以上の文字が含まれています。	mo*la	デバッグ
  特定の単語を含むログ。単語は moz または sa で始まります。	moz* and sa*	デバッグ
  region フィールドの値が hai で終わるログ。	検索文を使用してログを検索することはできません。SQL 文の LIKE 句を使用してログを検索できます。詳細については、「LIKE 句を使用してあいまい一致を実装する」をご参照ください。 * | select * from log where region like '%hai'	なし

• デリミタベースの検索

  Simple Log Service は、指定したデリミタに基づいてログの内容を複数の単語に分割します。デフォルトのデリミタは , '";=()[]{}?@&<>/:\n\t\r です。 [デリミタ] を空のままにすると、Simple Log Service は各フィールドの値を全体として扱います。この場合、完全な文字列を使用するか、あいまい検索を実行することによってのみログを検索できます。デリミタの指定方法の詳細については、「インデックスの作成」をご参照ください。

  たとえば、http_user_agent フィールドの値は Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2 です。

  • [デリミタ] を空のままにすると、Simple Log Service はフィールド値を全体として扱います。この場合、http_user_agent:Chrome 検索文を使用してログを検索することはできません。

  • [デリミタ] を , '";=()[]{}?@&<>/:\n\t\r に設定すると、Simple Log Service はフィールド値を Mozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、like、Gecko、Chrome、192.0.2.0、Safari、537.2 に分割します。この場合、http_user_agent:Chrome 検索文を使用してログを検索できます。

  重要

  検索キーワードにデリミタが含まれている場合は、フレーズ検索を実行するか、LIKE 句を使用できます。例：

  • フレーズ検索：#"redo_index/1"。詳細については、「フレーズ検索」をご参照ください。

  • LIKE 句：* | select * from log where key like 'redo_index/1'。

  予期される検索結果	検索文	デバッグ

  予期される検索結果	検索文	デバッグ
  http_user_agent フィールドの値に Chrome が含まれているログ	http_user_agent:Chrome	デバッグ
  http_user_agent フィールドの値に Linux と Chrome が含まれているログ	http_user_agent:Linux and http_user_agent:Chrome	デバッグ
  	http_user_agent:"Linux Chrome"	デバッグ
  http_user_agent フィールドの値に Firefox または Chrome が含まれているログ	http_user_agent:Firefox or http_user_agent:Chrome	デバッグ
  request_uri フィールドの値に /request/path-2 が含まれているログ	request_uri:/request/path-2	デバッグ
  request_uri フィールドの値が /request で始まり、/file-0 を含まないログ	request_uri:/request* not request_uri:/file-0	デバッグ
  redo_index/1 フレーズが完全に一致するログ	#"redo_index/1" * | select * from log where key like 'redo_index/1' 説明 フレーズ検索を実行するか、LIKE 句を使用してフレーズを完全に一致させることができます。完全検索を実行すると、redo_index や 1 などの単語が照合されます。	なし

特別なシナリオでのクエリの例

• 検索文

  この演算子は、構文キーワードを囲むために使用されます。構文キーワードが二重引用符（""）で囲まれている場合、キーワードは通常の単語に変換されます。フィールド固有の検索では、二重引用符（""）で囲まれた単語は全体として扱われます。

  • フィールド名またはフィールド値に、スペース、漢字、コロン（:）、ハイフン（-）などの特殊文字、または and や or などの構文キーワードが含まれている場合は、フィールド名またはフィールド値を二重引用符（""）で囲む必要があります。たとえば、"and" は、単語 and を含むログを返します。この場合、and は演算子ではありません。

  • Simple Log Service は、sort、asc、desc、group by、avg、sum、min、max、limit などの演算子をサポートしています。これらの演算子をキーワードとして使用する場合は、二重引用符（""）で囲む必要があります。

  • データ変換機能または Logtail プラグインを使用してログが処理される場合、__tag__:__client_ip__ フィールドのキーは共通キーに変換されます。ログを検索する場合は、検索文で __tag__:__client_ip__ フィールドの名前を二重引用符（""）で囲む必要があります。例："__tag__:__client_ip__":192.0.2.1。 __tag__:__client_ip__ フィールドは、Simple Log Service の予約フィールドです。このフィールドは、ログが収集されるホストの IP アドレスを示します。詳細については、「予約フィールド」をご参照ください。

  予期されるクエリ結果	検索文

  予期されるクエリ結果	検索文
  request method フィールドの値に PUT が含まれているログ。 request method フィールドの名前にはスペースが含まれています。	"request method":PUT
  192.0.2.1 ホストから収集されたログ。	"__tag__:__client_ip__":192.0.2.1

• 分析文

  • フィールド名やテーブル名などの固有名詞に、スペース、漢字、コロン（:）、ハイフン（-）などの特殊文字、または and や or などの構文キーワードが含まれている場合は、分析文で固有名詞を二重引用符（""）で囲む必要があります。

  • 特定の文字が文字列を表す場合は、分析文で文字を一重引用符（''）で囲む必要があります。たとえば、'status' は status 文字列を示し、status または "status" は status ログフィールドを示します。

  予期されるクエリ結果	クエリ文

  予期されるクエリ結果	クエリ文
  IP アドレスが 192.168.XX.XX と一致するログ	* | select * from log where key like '192.168.%.%'

  詳細については、「クエリ文で引用符を使用するにはどうすればよいですか？」をご参照ください。