如何在KQL中拼接两个不同表的字符串至同一列？

核心思路 #

你需要先确保join操作是基于共同关联字段（比如ID、唯一标识）将两个表的对应行合并到同一行，之后再用字符串拼接函数合并两个URL列的值。

具体实现步骤 #

1. 确保关联逻辑正确：使用fullouter join时必须指定关联键，否则会产生笛卡尔积，无法将对应行对齐。
2. 合并URL列：使用Kusto的strcat_ignore_nulls()函数，它会自动忽略null值，直接拼接非空的URL内容；如果需要自定义分隔符，直接嵌入函数即可。

代码示例 #

假设你已经定义了两个表Table1和Table2，它们有共同的关联字段ItemID：

let Table1 = datatable(ItemID:int, URL:string)
[
    1, "https://example1.com/page1",
    2, "https://example1.com/page2"
];
let Table2 = datatable(ItemID:int, URL:string)
[
    1, "https://example2.com/page1",
    3, "https://example2.com/page3"
];

// 关联两个表并拼接URL
Table1
| join kind=fullouter Table2 on ItemID
| project 
    ItemID,
    CombinedURL = strcat_ignore_nulls(Table1_URL, " | ", Table2_URL)

效果说明 #

• 对于ItemID=1的行，CombinedURL会显示https://example1.com/page1 | https://example2.com/page1
• 对于ItemID=2的行，仅显示Table1的URL：https://example1.com/page2
• 对于ItemID=3的行，仅显示Table2的URL：https://example2.com/page3

替代方案（无strcat_ignore_nulls时） #

如果你的环境不支持strcat_ignore_nulls，可以用iff和isnotempty手动处理空值：

| project 
    ItemID,
    CombinedURL = strcat(
        iff(isnotempty(Table1_URL), Table1_URL, ""),
        iff(isnotempty(Table2_URL), " | " + Table2_URL, "")
    )

内容的提问来源于stack exchange，提问作者Kaps