Splunk中如何从ResponseDetails嵌套JSON提取description到message变量？

问题根源 #

你的ResponseDetails字段存储的是无效JSON格式，示例内容里外层多了一对冗余的大括号：

原始无效JSON：{ {"results":[{"description":"Item was successfully added"}]} }
标准有效JSON：{"results":[{"description":"Item was successfully added"}]}

Splunk的spath命令只能解析标准JSON，这种嵌套冗余大括号的格式会导致解析失败，最终message字段为空。

解决方法 #

情况1：可以修改数据源的JSON格式 #

直接修正ResponseDetails的内容为标准JSON，之后你的原始spath命令即可正常提取值：

| spath input=ResponseDetails output=message path=results{}.description

情况2：无法修改数据源，只能在Splunk中处理 #

先用rex命令清理掉外层的冗余大括号，提取出内部的有效JSON，再用spath解析：

| rex field=ResponseDetails "\{ (?<cleaned_response>.*) \}"
| spath input=cleaned_response output=message path=results{}.description

• rex命令的作用是匹配外层的大括号，将中间的有效JSON内容提取到cleaned_response字段中
• 后续对cleaned_response使用spath即可正常解析出description的值

额外说明 #

如果results数组中有多个元素，results{}.description会将所有description值提取为多值字段；如果只需要数组中第一个元素的description，可以指定索引：

| spath input=cleaned_response output=message path=results{0}.description

内容的提问来源于stack exchange，提问作者Developer