通过Splunk REST API调用curl执行查询时遇引号相关错误

首先修正原始查询中的语法错误：eval field1=split(field1,";")) 多了一个右括号，正确写法是 eval field1=split(field1,";")，这个错误会导致无论Web还是API调用都失败，需优先处理。

针对curl调用REST API时的引号转义问题，给出两种可靠的解决方法：

方法一：单引号包裹search参数（推荐） #

shell中用单引号包裹字符串时，内部的双引号不需要转义，shell会直接将整个字符串原样传递给curl。修正后的命令：

curl -k -u admin:admin https://splunksearchnode:8089/servicesNS/admin/search/jobs/export -d search='| stats count as field1 | eval field1="host_abc;host_def" | eval field1=split(field1,";") | mvexpand field1 | rex field=field1 "(?<host>.*)" | table host | outputlookup test_maintenance.csv'

方法二：双引号包裹search参数并正确转义 #

如果必须用双引号包裹search参数，需要对内部的双引号进行shell层面的转义，同时确保查询语法正确：

curl -k -u admin:admin https://splunksearchnode:8089/servicesNS/admin/search/jobs/export -d search="| stats count as field1 | eval field1=\"host_abc;host_def\" | eval field1=split(field1,\";") | mvexpand field1 | rex field=field1 \"(?<host>.*)\" | table host | outputlookup test_maintenance.csv"

错误原因分析 #

• 双引号包裹时出现"Unbalanced quotes"：shell解析时部分转义未生效，导致引号不匹配，加上原始查询的多余括号进一步加剧语法错误。
• 单引号包裹时出现EvalCommand错误：单引号内部使用的\"会被shell作为字面量传递给Splunk，导致Splunk接收到的表达式为eval field1=\"host_abc;host_def\"，不符合Splunk语法规范。

内容的提问来源于stack exchange，提问作者Mar_Che