日志服务：正则表达式

不同函数的匹配模式如表格所示。

匹配模式示例。

• regex_match("abc123", r"\d+")：匹配。默认为部分匹配模式。

• regex_match("abc123", r"\d+", full=True)：不匹配。设置了完全匹配模式。

• regex_match("abc123", r"^\d+$")：不匹配。等同于完全匹配模式。

• e_search(r'status~="\d+"')：根据status字段的值匹配。等同于部分匹配模式。

• e_search(r'status~="^\d+$"')：根据status字段的值匹配。等同于完全匹配模式。

正则表达式中可能会包含特殊字符，如果需要获取这些字符本身的含义，就需要进行转义。 您可以通过以下方法进行转义：

• 通过反斜线（\）进行转义

  更多信息，请参见字符转义。

• 通过str_regex_escape函数进行转义。

  • 例如e_drop_fields(str_regex_escape("abc.test"))表示丢弃字段abc.test。

  • 例如e_drop_fields("abc.test")则表示丢弃符合abc?test的字段，其中半角问号（?）表示任意字符。

分组是将需要重复的表达式用半角圆括号()包裹起来，然后对这个表达式进行重复引用。以下示例为分组和不分组的区别：

"""
处理前日志为：
SourceIP: 192.0.2.1
处理后日志为：
SourceIP: 192.0.2.1
ip: 192.0.2.1
"""
# 不分组:
e_regex("SourceIP",r"\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}","ip")
# 分组:
e_regex("SourceIP", "\d{1,3}(.\d{1,3}){3}", "ip")

默认情况下，每个捕获组会自动拥有一个编号。从左向右，以分组的左括号为标志，第一个出现的分组的编号为1，第二个为2，以此类推。例如，以下示例拥有3个分组：

(\d{4})-(\d{2}-(\d{2}))

1     1 2      3     32

例如您要查找program和project，则正则表达式可以为pro(gram|ject)。如果您不希望将正则表达式匹配的内容缓存到内存中，则可以使用pro(?:gram|ject)进行非捕获匹配。