如何在Splunk的DB Connect中正确提取数据库查询结果的所有字段？

1. 优化DB Connect输入配置 #

• 进入DB Connect的Database Input配置页，确认字段提取模式选择KV键值对模式，避免默认模式错误拆分含特殊字符的字段。
• 关闭自动字段提取功能，防止SQL_TEXT中的引号、等号被误判为字段分隔符，后续改用自定义规则处理。

2. 配置全局字段提取规则（推荐） #

直接针对sourcetype=ID配置全局提取规则，无需每次搜索手动加命令：

• 进入Splunk Web → 设置 > 字段 > 字段提取，选择对应应用和sourcetype=ID。
• 创建自定义提取，使用正则精准匹配字段，示例正则（覆盖TERMINAL、CLIENT_PROGRAM_NAME、SQL_TEXT）：

  TERMINAL="(?<TERMINAL>[^"]+)",\s*CLIENT_PROGRAM_NAME="(?<CLIENT_PROGRAM_NAME>[^"]+)",\s*SQL_TEXT="(?<SQL_TEXT>(?:[^"]|\\")+)"
  

  该正则会忽略SQL_TEXT内的转义引号，避免字段拆分错误。

3. 临时搜索用rex命令精准提取 #

如果不想修改全局配置，可在搜索语句中用rex直接提取目标字段：

index=oracle_audit sourcetype=ID source=OracleAuditConnection
| rex "TERMINAL=\"(?<TERMINAL>[^\"]+)\",\s*CLIENT_PROGRAM_NAME=\"(?<CLIENT_PROGRAM_NAME>[^\"]+)\",\s*SQL_TEXT=\"(?<SQL_TEXT>(?:[^\"]|\\\")+)\""

4. 从Oracle视图源头预处理数据 #

• 修改Oracle视图的查询语句，转义SQL_TEXT中的双引号：

  SELECT 
    TERMINAL,
    CLIENT_PROGRAM_NAME,
    REPLACE(SQL_TEXT, '"', '\"') AS SQL_TEXT
  FROM your_audit_view;
  

• 或者改用其他分隔符（如;）分隔字段，避免和SQL_TEXT内的逗号冲突，再在Splunk中指定对应的分隔规则。

内容的提问来源于stack exchange，提问作者nightmare637