SumoLogic:在日志消息开头搜索字符串

Question

在SumoLogic中，是否可以只在日志行的开头搜索文本？

例如，我想匹配：

错误: omg，有东西着火了！

但不是：

警告:探测到烟雾！可能只是鲍勃烧爆米花--没有错误:)

我试过^error:和parse "^error:"，但两者似乎都不匹配。

Answer 1

解析Regex或提取文档声明：

Parse操作符(也称为提取操作符)使用户能够使用正则表达式语法从日志行中提取更复杂的数据。例如，可以使用解析regex提取嵌套字段。

上面的查询可以使用：parse regex "^(?<errorlevel>error: )"指定

假设regex查询比免费文本更昂贵，您可以使用："error: " | parse regex "^(?<errorlevel>error: )"进行预筛选。