代码之家 › 专栏 › 技术社区 › Brett

Splunk中的简单连接json换行符

splunk line-breaks

0

Brett · 技术社区 · 5 年前

我知道这可能很简单,但出于某种原因,我能够让线路断路器在Splunk中工作。我正在从AWSS3获取数据源,并连接了多个JSON格式的事件。例如

{"key":"value", {"composite":"result"}}{"something":"else"}

所以线路断路器应该匹配 }{

我有 SHOULD_LINEMERGE=false LINE_BREAKER=(\{.+\})\{ 但我松开了最后的支架。这个它们之间没有任何字符(甚至没有换行符),拆分这些字符的最佳方法是什么?

0 回复 | 直到 5 年前

1

RichG 5 年前

这个 LINE_BREAKER 属性需要捕获组,但丢弃与捕获组匹配的文本。解决方案是使用正则表达式更具创造性。

LINE_BREAKER=\}()\{

允许使用空的捕获组。

你的评论把事情弄糊涂了。事件之间是否有分隔符 }{ {"key" ? 价值 线路断路器 TRUNCATE