如何从Splunk搜索导出全量结果？解决UI超时导出限制问题

通过Splunk UI导出数据时，仅能下载耗时60秒以内的结果，超过时限UI就会超时。请问如何导出指定搜索的全部结果？

给你几个实用的解决办法：

1. 用Splunk CLI命令导出 #

直接通过命令行执行搜索并导出，不受UI超时限制。比如要导出CSV格式的全部结果，运行：

splunk search "你的搜索语句" -output csv -maxrows 0 > 导出结果.csv

• -maxrows 0 表示返回所有搜索结果，不限制行数
• 如果没提前登录CLI，需要加上 -auth 用户名:密码 认证信息

2. 调整UI导出超时时间 #

修改Splunk的web配置文件，延长导出超时限制：

1. 找到 $SPLUNK_HOME/etc/system/local/web.conf（如果没有就新建这个文件）
2. 添加或修改以下配置：

   [settings]
   export_results_timeout = 300  # 单位是秒，这里设为5分钟，可根据实际需求调整
   

3. 重启Splunk服务，设置就会生效
   注意：这个修改会影响所有用户的导出超时，需要有服务器操作权限。

3. 先把搜索结果存到索引再导出 #

如果搜索本身耗时太长，先把结果保存到索引，再导出简单搜索的结果：

1. 运行目标搜索后，点击界面上的「保存结果」，选择保存到某个索引（可以新建一个临时索引）
2. 保存完成后，运行简单搜索 index=你保存的索引名，这个搜索耗时极短，不会触发超时，直接导出即可

4. 通过Splunk REST API导出 #

用API创建搜索任务，等任务完成后再拉取全部结果：

1. 创建搜索任务，获取任务ID（job_id）：

   curl -u 用户名:密码 -X POST https://你的Splunk地址:8089/services/search/jobs -d search="你的搜索语句"
   

2. 查询任务状态，直到返回的状态是done：

   curl -u 用户名:密码 https://你的Splunk地址:8089/services/search/jobs/你的job_id
   

3. 导出全部结果（以CSV为例）：

   curl -u 用户名:密码 https://你的Splunk地址:8089/services/search/jobs/你的job_id/results?output_mode=csv&count=0 > 导出结果.csv
   

• count=0 表示拉取所有结果，不限制数量

内容的提问来源于stack exchange，提问作者Dean Meehan