Splunk中使用rex命令匹配双引号内通配符的问题求助

问题场景 #

源日志格式示例：

"Error in breakfast table , table name "". The quick brown fox jumped over the lazy dog. The maximum length of the "" data is currently set to * hotdogs, but the bun length is * inches. Increase the maximum length of the "" bun to at least * inches and retry.*"

其中双引号包裹的*代表任意单字符、多字符或多词字符串，单独的*代表数字。

• 可正常执行的rex语句：

  | rex "Error in breakfast table (?<breakfast_table>\d+)" | rename breakfast_table as "BT"
  

  该语句能正确提取数字字段并显示在表格中。

• 执行失效的rex语句（Splunk中返回NULL，但PCRE模式下验证匹配正常）：

  | rex "table name \"(?<table_name>[^\"]*)\"" | rename table_name as "TN"
  

  | rex "maximum length of the \"(?<max_bunlength>[^\"]*)\"" | rename max_bunlength as "MB"
  

临时解决方法 #

通过Splunk内置的「提取新字段」可视化流程，手动选中日志中需要提取的目标数据后，直接复制系统自动生成的正则语句使用，已解决当前问题。

后续优化排查方向 #

• 确认日志实际格式：检查Splunk中存储的原始日志里，双引号是否为预期的转义格式\"，可能存在入库时转义规则不一致的情况。
• 调整正则匹配规则：将[^\"]*替换为非贪婪匹配的[^\"]+?，避免因贪婪匹配导致的范围覆盖问题。
• 指定匹配字段：在rex命令中明确指定匹配原始日志字段，比如| rex field=_raw "table name \"(?<table_name>[^\"]*)\""，防止默认匹配字段错误。
• 检查管道顺序：确保rex命令位于正确的搜索管道位置，前面的搜索结果确实包含目标日志内容。

内容的提问来源于stack exchange，提问作者fewrgw5yu