splunk rex查询要过滤消息

Question

我有以下格式的splunk日志：

{"Apple":
    {"message":"abcdefgh.ijkl","code":"200"}
} 

我想分别过滤消息" abcdefgh.ijkl"和代码。

Answer 1

在查询中尝试此rex命令。

... | rex "message":"(?<message>[^"]+)","code":"(?<code>d+)" | ...