Simple Log Service:検索構文

一般的な検索例

request_method:GET and status in [200 299]

request_method:GET not region:cn-hangzhou

request_method:GET or request_method:POST

not request_method:GET

(request_method:GET or request_method:POST) and status in [200 299]

(request_method:GET or request_method:POST) not status in [200 299]

request_method:GET and status in [200 299] not request_time>=60

request_time:60

request_time=60

request_time>=60 and request_time<200

request_time in [60 200)

request_time:* not request_time > -10000000000

request_time > -1000000000

"and"

"request method":PUT

__topic__:HTTPS or __topic__:HTTP

__tag__:__client_ip__:192.0.2.1

* | select * from log where key like '192.168.%.%'

not remote_user:""

remote_user:""

not remote_user:"null"

not remote_user:*

remote_user:*

not city:Shanghai

高度な検索例

• ファジー検索

  期待される検索結果	検索文	デバッグ
  特定の単語を含むログ。 単語はcnで始まります。	cn*	デバッグ
  regionフィールド値がcnで始まるログ。	region:cn*	なし
  regionフィールド値にcn * が含まれるログ。	region:"cn*" 説明 この検索文では、cn * は完全な文字列です。 例： ログの内容がregion:cn *,enで、区切り文字がコンマ (,) の場合、Simple log Serviceはログの内容をregion、cn * 、およびenに分割します。 検索文を使用してログを検索できます。 ログの内容がregion:cn * hangzhouの場合、Simple log Serviceはcn * hangzhou全体を考慮します。 この場合、検索文を使用してログを検索することはできません。	なし
  特定の単語を含むログ。 単語はmoziで始まり、laで終わり、moziとlaの間に1文字が含まれます。	mozi?la	デバッグ
  特定の単語を含むログ。 単語はmoで始まり、laで終わり、moとlaの間に0文字以上の文字が含まれます。	mo*la	デバッグ
  特定の単語を含むログ。 言葉はmozまたはsaで始まります。	moz* and sa*	デバッグ
  regionフィールド値がhaiで終わるログ。	検索文を使用してログを検索することはできません。 SQL文でLIKE句を使用して、ログを検索できます。 詳細については、「LIKE句を使用してファジー一致を実装する」をご参照ください。 * | select * from log where region like '%hai'	なし

• 区切り文字ベースの検索

  Simple Log Serviceは、指定した区切り文字に基づいて、ログの内容を複数の単語に分割します。 デフォルトの区切り文字は、'";=()[]{}?@&<>/:\n\t\rです。 Delimiterを空のままにすると、Simple Log Serviceは各フィールドの値を全体として考慮します。 この場合、完全な文字列を使用するか、あいまい検索を実行することによってのみ、ログを検索できます。 区切り文字の指定方法の詳細については、「インデックスの作成」をご参照ください。

  たとえば、http_user_agentフィールドの値は、Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.2 (KHTML, like Gecko) Chrome/192.0.2.0 Safari/537.2です。

  • Delimiterを空のままにすると、Simple Log Serviceはフィールド値全体を考慮します。 この場合、http_user_agent:Chrome検索文を使用してログを検索することはできません。

  • Delimiterを, '";=()[]{}?@&<>/:\n\t\rに設定した場合、Simple Log Serviceはフィールド値をMozilla、5.0、Windows、NT、6.1、AppleWebKit、537.2、KHTML、likeに分割します。2. ヤモリ、クローム、192.0.2.0、サファリ、537。 この場合、http_user_agent:Chrome検索文を使用してログを検索できます。

  重要

  検索キーワードに区切り文字が含まれている場合は、フレーズ検索を実行するか、LIKE句を使用できます。 例：

  • フレーズ検索: #"redo_index/1" 詳細については、「フレーズ検索」をご参照ください。

  • LIKE句: * | select * from log where key like 'redo_index/1'

  期待される検索結果	検索文	デバッグ
  http_user_agentフィールド値にChromeが含まれるログ	http_user_agent:Chrome	デバッグ
  http_user_agentフィールド値にLinuxおよびChromeが含まれるログ	http_user_agent:Linux and http_user_agent:Chrome	デバッグ
  	http_user_agent:"Linux Chrome"	デバッグ
  http_user_agentフィールド値にFirefoxまたはChromeが含まれるログ	http_user_agent:Firefox or http_user_agent:Chrome	デバッグ
  request_uriフィールド値に /request/path-2が含まれるログ	request_uri:/request/path-2	デバッグ
  request_uriフィールド値が /requestで始まり、/file-0を含まないログ	request_uri:/request* not request_uri:/file-0	デバッグ
  redo_index/1フレーズが完全に一致するログ	#"redo_index/1" * | select * from log where key like 'redo_index/1' 説明 フレーズ検索を実行するか、LIKE句を使用してフレーズを完全に一致させることができます。 正確な検索を実行すると、redo_indexや1などの単語が一致します。	なし

特別なシナリオでのクエリ例

• 検索文

  この演算子は、構文キーワードを囲むために使用されます。 構文キーワードが二重引用符 ("") で囲まれている場合、キーワードは通常の単語に変換されます。 フィールド固有の検索では、二重引用符 ("") で囲まれた単語が全体として見なされます。

  • フィールド名またはフィールド値に、スペース、漢字、コロン (:) 、ハイフン (-) などの特殊文字、またはおよびまたはなどの構文キーワードが含まれる場合、フィールド名またはフィールド値を二重引用符 ("") で囲む必要があります。 たとえば、"and" は、単語とを含むログを返します。 この場合、演算子ではありません。

  • Simple Log Serviceは、sort、asc、desc、group by、avg、sum、min、max、limitをサポートしています。 これらの演算子をキーワードとして使用する場合は、演算子を二重引用符 ("") で囲む必要があります。

  • データ変換機能またはLogtailプラグインを使用してログを処理する場合、__tag __:__ client_ip__フィールドのキーが共通キーに変換されます。 ログを検索する場合は、検索文で__タグ __:__ client_ip__フィールドの名前を二重引用符 ("") で囲む必要があります。 例: "__tag __:__ client_ip__":192.0.2.1 __tag __:__ client_ip__ フィールドは、Simple Log Serviceの予約済みフィールドです。 このフィールドは、ログを収集するホストのIPアドレスを示します。 詳細については、「予約済みフィールド」をご参照ください。

  期待されるクエリ結果	検索文
  リクエストメソッドフィールド値にPUTが含まれるログ。 リクエストメソッドフィールドの名前にはスペースが含まれます。	"request method":PUT
  192.0.2.1ホストから収集されたログ。	"__tag__:__client_ip__":192.0.2.1

• 分析ステートメント

  • フィールド名やテーブル名などの固有名詞に、スペース、漢字、コロン (:) 、ハイフン (-) などの特殊文字や、やまたはなどの構文キーワードが含まれている場合は、固有名詞を二重引用符 (") で囲む必要があります。

  • 特定の文字が文字列を表す場合は、単一引用符 ('') を使用して文字を分析ステートメントで囲む必要があります。 たとえば、'status' はステータス文字列を示し、statusまたは "status" はステータスログフィールドを示します。

  期待されるクエリ結果	クエリ文
  IPアドレスが192.168.XX.XXと一致するログ	* | select * from log where key like '192.168.%.%'

  詳細については、「」をご参照ください。クエリ文で引用符を使用するにはどうすればよいですか。