如何在SPL2中查询Splunk数据里的空数组foo

针对你遇到的foo字段为空数组的查询需求，直接用foo=[]或foo="[]"是无效的——因为Splunk会把数组解析为多值字段而非字符串格式。正确的查询方法是利用mvcount函数判断字段的元素数量：

| where mvcount(foo) = 0

如果你的场景中foo字段可能不存在（而非仅仅是空数组），可以再加一层判断确保字段存在：

| where isnotnull(foo) AND mvcount(foo) = 0

内容的提问来源于stack exchange，提问作者John Henckel