如何在KQL中实现大小写敏感前缀查询及正确使用OR运算符

1. 匹配字段开头的字符串 #

你当前用的contains_cs是大小写敏感的包含匹配，不管目标字符串在字段的哪个位置都会命中。要只匹配以指定字符串开头的记录，应该用startswith_cs运算符，它会严格检查字段的起始位置是否匹配目标字符串，且保持大小写敏感。

示例代码：

UserBaseTable
| where RawData startswith_cs "REF "

如果不需要大小写敏感，直接用startswith即可。

2. OR运算符的正确用法 #

KQL中OR运算符必须大写，小写的or会被识别为普通标识符，导致语法错误。另外要注意逻辑表达式的优先级：AND的优先级高于OR，如果你的条件里同时包含AND和OR，一定要用括号明确分组，否则会出现逻辑不符合预期的情况。

基础用法示例 #

匹配以REF开头，或者状态为Active的记录：

UserBaseTable
| where RawData startswith_cs "REF " OR Status == "Active"

组合AND/OR的正确写法 #

如果需要同时满足「(以REF开头或以PRE开头) 且 状态为Active」，必须加括号分组：

UserBaseTable
| where (RawData startswith_cs "REF " OR RawData startswith_cs "PRE ") 
  AND Status == "Active"

如果不加括号，KQL会先执行RawData startswith_cs "PRE " AND Status == "Active"，再和前面的条件做OR，逻辑就完全变了。

内容的提问来源于stack exchange，提问作者Aviator