Splunk中case like匹配失效求助：所有结果均显示“not matched”

我有一个包含Hostname字段的数据集，尝试通过Splunk查询根据Hostname字段给数据添加标签，使用的查询语句如下：

index=log_ad 
| eval tag=case(Hostname like '%SRV%', 'server', Hostname like '%DC%', 'controller', 1=1, "not matched") 
| top tag, Hostname

但所有结果的tag字段均显示“not matched”，而数据中的Hostname明明包含SRV、DC关键词，请求分析问题原因。

• 大小写敏感导致匹配失败：Splunk的like操作符默认区分大小写。如果实际Hostname中的关键词是小写（如srv/dc）或混合大小写（如Srv/Dc），而查询里用的是大写SRV/DC，就会匹配不到。
• 字段值存在冗余字符：Hostname字段值前后可能存在空格、制表符等不可见字符，导致%SRV%这类通配符无法匹配到目标内容。
• 字段名拼写错误：确认Hostname字段名是否完全正确，若字段名实际是hostname（小写）或其他拼写，会导致无法正确引用字段，最终走默认的“not matched”分支。

1. 忽略大小写匹配
   可以通过lower()函数将字段值统一转为小写后匹配，或者使用支持忽略大小写的正则match函数：

   # 统一转小写后匹配
   index=log_ad 
   | eval tag=case(lower(Hostname) like '%srv%', "server", lower(Hostname) like '%dc%', "controller", 1=1, "not matched") 
   | top tag, Hostname
   

   # 正则忽略大小写匹配
   index=log_ad 
   | eval tag=case(match(Hostname, "(?i)SRV"), "server", match(Hostname, "(?i)DC"), "controller", 1=1, "not matched") 
   | top tag, Hostname
   

2. 清理字段冗余字符
   如果是字段值有多余空格，先用trim()函数清理后再匹配：

   index=log_ad 
   | eval Hostname=trim(Hostname)
   | eval tag=case(Hostname like '%SRV%', "server", Hostname like '%DC%', "controller", 1=1, "not matched") 
   | top tag, Hostname
   

3. 验证字段正确性
   先单独查询Hostname字段，确认字段名和值的实际情况：

   index=log_ad 
   | table Hostname
   

   手动核对字段值是否符合预期，排除字段名拼写错误或值格式异常的问题。

内容的提问来源于stack exchange，提问作者daisy