如何修改CloudWatch Logs Insights查询以排除@ptr字段？

要移除查询结果中的@ptr字段，你需要做以下两点调整：

• 替换display为fields命令：fields会严格只返回你指定的字段，而display在部分场景下仍会默认保留@ptr（日志条目的内部指针）。
• 调整查询顺序为先过滤、再排序、最后指定字段：这符合CloudWatch Logs Insights的执行逻辑，确保先筛选出目标日志，再排序，最后输出指定字段。

修改后的完整查询如下：

filter @message not like "GET / HTTP/1.1"
| sort @timestamp asc
| fields @timestamp, @message

执行这个修改后的查询，再用aws logs get-query-results获取结果时，就只会返回@timestamp和@message两个字段，不会包含@ptr。

内容的提问来源于stack exchange，提问作者Howins