Simple Log Service:正規表現

次の表に、さまざまな関数の一致モードを示します。

次の例は、さまざまなマッチングモードに基づいています。

• regex_match("abc123", r "\d +"): 文字列は正規表現に一致します。 この例では、部分一致のデフォルトの一致モードが使用されます。

• regex_match("abc123", r "\d +", full=True): 文字列が正規表現と一致しません。 この例では、一致モードは完全一致に設定されている。

• regex_match("abc123", r"^\d+$"): 文字列が正規表現と一致しない。この例では、マッチングモードは完全一致とみなされます。

• e_search(r'status~="\d+"'): status フィールドの値が正規表現と一致するかどうかは、実際の値に基づいて判断されます。 この例では、マッチングモードは部分一致とみなされる。

• e_search(r'status~="^\d+$"'): statusフィールドの値が正規表現と一致するかどうかは、実際の値に基づいて判断されます。 この例では、一致モードは完全一致とみなされる。

正規表現には特殊文字を含めることができます。 文字の字義を保持したい場合は、その文字をエスケープする必要があります。特殊文字をエスケープするには、次の方法を使用できます:

• Use backslashes (\).

  詳細については、「特殊文字のエスケープ」をご参照ください。

• Use the str_regex_escape function.

  • Example 1: If you use e_drop_fields(str_regex_escape("abc.test"), the abc.test field is discarded.

  • 例2: e_drop_fields("abc.test") を使用する場合、abc?testに一致するフィールドは破棄されます。 疑問符 (?) は任意の文字を指定します。

() を使用して、部分表現を正規表現で囲み、グループを作成できます。 グループは繰り返し参照できます。 次の例は、グループの作成前と作成後の正規表現の違いを示しています。

"""
Log before processing:
SourceIP: 192.0.2.1
Log after processing:
SourceIP: 192.0.2.1
ip: 192.0.2.1
"""
# Before a group is created:
e_regex("SourceIP",r"\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}","ip")
# After a group is created:
e_regex("SourceIP", "\d{1,3}(.\d{1,3}){3}", "ip")

デフォルトでは、すべてのキャプチャグループは、開始括弧に基づいて左から右に番号付けされます。最初のグループには 1、2 番目のグループには 2 というように番号が付けられます。 次の例では、3つのキャプチャグループが作成されています。:

(\d{4})-(\d{2}-(\d{2}))

1     1 2      3     32

たとえば、programとprojectを検索する場合は、pro(gram | ject) の正規表現を使用できます。 正規表現に一致するコンテンツをメモリにキャッシュしたくない場合は、pro(?:gram | ject) を使用できます。