使用 Splunk rex 命令提取 2 个单词之间的字段

Question

请协助提取\在 2 个固定单词之间创建一个新字段，其中一个以 ! 开头

例：

!CASH OUT          $50.00!                        !TOTAL AUD    $61.80! 

!CASH OUT和!TOTAL是固定的，但介于($22.00!(之间的值金额会发生变化。我想创建一个字段，以便我可以按提现金额等过滤事件。我只希望美元金额是最后没有!的字段。

我尝试了以下搜索，但它创建了一个包含!CASH OUT后所有数据的兑现字段，并且在!TOTAL之前没有剪切该字段

"CASH OUT" "!TOTAL" | rex "CASH OUT (?.*)!TOTAL"
search | "CASH OUT" "!TOTAL" | rex "CASH OUT (?.*)!TOTAL"

field = $50.00

Answer 1

rex "(?<total>$[^!]+)"

进入捕获称为总计的组，捕获以美元符号开头的任何内容，然后是所有不可用的感叹号。

rex "$(?<total>[^!]+)"

如果不想在捕获的字段中包含美元符号