如何通过SumoLogic API获取聚合查询的正确结果？

问题出在你调用的API端点上：v1/search/jobs/{job_id}/messages 专门返回原始日志消息，不会返回聚合后的计算结果。要获取SumoLogic端完成的聚合值，你需要调用另一个端点：

• 当查询任务状态变为DONE GATHERING RESULTS后，调用 GET v1/search/jobs/{job_id}/records

这个端点会返回经过查询处理后的结构化结果，包含你预期的_sum聚合字段。

额外注意事项 #

• 确保创建查询任务的请求体中，query参数和GUI中运行的完全一致，转义字符（比如双引号）处理正确
• 调用/records时，可以通过limit和offset参数分页获取结果，例如：v1/search/jobs/{job_id}/records?limit=1000
• 可以先查看查询任务的详情（GET v1/search/jobs/{job_id}），确认aggregates字段是否存在，这能提前验证聚合是否已完成

内容的提问来源于stack exchange，提问作者Sam M.