含stats命令的Splunk REST API搜索查询返回空结果问题求助

数据老陈

2026-6-18

Splunk REST API聚合查询返回空结果问题

问题详情

使用Splunk REST API创建搜索任务并通过SID获取结果时，返回空结果集：

{
    "preview": false,
    "init_offset": 0,
    "post_process_count": 0,
    "messages": [],
    "results": []
}

但在Splunk UI执行同一查询可得到820条结果。已确认：

添加adhoc_search_level=verbose参数无效
移除查询中的stats关键字后，API可正常返回结果
job_manager显示该任务包含820条事件，但通过SID获取结果仍为空

涉及的查询语句：

search index="linux_sys" sourcetype="syslog" ("Failed password" OR "authentication failure")
| stats count by user, src_ip
| where count > 5
| sort - count

解决方法

1. 确认搜索任务已完成

发送GET请求到https://localhost:8089/services/search/jobs/{SID}?output_mode=json，检查dispatchState字段是否为DONE。若任务处于RUNNING或QUEUED状态，需等待任务完成后再查询结果。

2. 调整结果请求参数

请求结果时，添加必要参数确保返回所有聚合结果：

GET https://localhost:8089/services/search/jobs/{SID}/results?output_mode=json&count=0&offset=0

count=0：表示返回所有结果（默认可能限制条数）
offset=0：从第一条结果开始返回

3. 检查查询语句的传递格式

创建任务时，确保查询语句在请求体中正确传递，避免特殊字符解析错误。例如JSON格式的请求体：

{
    "search": "search index=\"linux_sys\" sourcetype=\"syslog\" (\"Failed password\" OR \"authentication failure\") | stats count by user, src_ip | where count > 5 | sort - count",
    "output_mode": "json"
}