用splunk绘制从json字符串字段中提取的键数表

Question

我想使用splunk从我的服务的负载日志中绘制一张图，以突出显示查询参数的类型。日志的格式如下：

2020-11-10 04:46:57.471  INFO InfoType="payload" request="{"queryParams":{"field1":"26453451364"}}" 

2020-11-10 04:46:57.471  INFO InfoType="payload" request="{"queryParams":{"field2":"71362547612531"}}" 

2020-11-10 04:46:57.471  INFO InfoType="payload" request="{"queryParams":{"field3":"71547612531", "field4":"7136254761"}}"

对于以上内容，我希望输出如下所示：

Query Param   | Count
--------------------
field1        |  1
--------------------
field2        |  1
--------------------
field3,field4 |  1

我用spath试了很多，但我不能让它工作。

| makeresults
| eval _raw="2020-11-10 04:46:57.471  INFO InfoType=\"payload\" request=\"{\"queryParams\":{\"field1\":\"26453451364\"}}\""
| spath input=request path={}.queryParams

任何关于如何继续或我做错了什么的帮助都将是非常有帮助的。提前感谢并致以问候。

Answer 1

您的JSON似乎具有多值字段

先尝试使用mvexpand：

index=ndx sourcetype=srctp
| mvexpand queryParams
| stats count by queryParams
| rename queryParams as "Query Param"