如何在Seq日志中通过DateTime字符串类型的事件子属性筛选事件？

问题场景 #

在Seq 2023.4.10097中筛选Windows C#应用通过Serilog上报的SpotPrice事件时：

• 数值型子属性筛选（如SpotPrice.PriceSeqId > 50000）正常生效
• 自定义DateTime字符串属性SpotPrice.DateTimeUTC仅支持直接字符串匹配（如SpotPrice.DateTimeUTC = '2024-05-03T15:13:24.1714197'），使用DateTime(SpotPrice.DateTimeUTC)转换后进行时间比较或DatePart函数操作时筛选完全失效，需求是基于该自定义时间而非Seq自带的@TimeStamp筛选。

可能原因 #

1. Seq表达式引擎对嵌套属性的类型转换存在解析优先级问题，直接嵌套调用DateTime(SpotPrice.DateTimeUTC)未正确执行类型转换
2. 上报的SpotPrice.DateTimeUTC是字符串类型，Seq隐式转换时存在格式识别偏差

解决方案 #

1. 用临时变量显式完成类型转换 #

Seq支持用let定义临时变量，先完成字符串到DateTime的转换再执行筛选逻辑，避免嵌套解析的问题：

• 按月筛选（转换时区后）：

let eventTime = DateTime(SpotPrice.DateTimeUTC); DatePart(eventTime, 'month', OffsetIn('America/New_York', eventTime)) = 4

• 时间范围筛选：

let eventTime = DateTime(SpotPrice.DateTimeUTC); eventTime > DateTime('2024-05-03T15:13:16.2726572')

2. 从源头修正属性类型 #

在C#代码中确保SpotPrice.DateTimeUTC以DateTime类型而非字符串上报，Seq会自动识别为DateTime类型，无需手动转换：

// 示例代码：上报带DateTime类型属性的事件
Log.ForContext("SpotPrice", new 
{ 
    DateTimeUTC = DateTime.UtcNow, 
    PriceSeqId = 50001 
}, destructureObjects: true)
.Information("Spot price updated");

如果是序列化对象上报，确保序列化时保留DateTime的类型元数据，避免被序列化为字符串。

3. 指定格式强制转换 #

如果必须以字符串上报，可在Seq筛选时显式指定时间格式，确保转换成功：

DateTime(SpotPrice.DateTimeUTC, 'yyyy-MM-ddTHH:mm:ss.fffffff') > DateTime('2024-05-03T15:13:16.2726572')

格式字符串需完全匹配上报的时间字符串格式（如示例中的7位毫秒）。

内容的提问来源于stack exchange，提问作者AzureGulf