CloudWatch查询优化：将两个字段解析结果合并至单个字段

完全可行，你可以通过CloudWatch Logs Insights的内置函数将两个解析字段合并到同一个字段中，以下是几种实用方案：

1. 优先取非空值（最常用场景） #

使用coalesce函数，它会返回传入参数中第一个非null的字段值，适合两个字段不会同时有值，或需要优先选择其中一个的情况：

fields @timestamp, @message
| parse durationMs /(?<duration>[\d]+ )/
| parse message /(GET \/[^\s]+ [\d]+ )(?<responseTime>[\d]+)/ 
| fields @timestamp, combinedLatency = coalesce(duration, responseTime)
| sort @timestamp desc

2. 自定义条件判断 #

如果需要明确的优先级或逻辑，用if语句实现：

fields @timestamp, @message
| parse durationMs /(?<duration>[\d]+ )/
| parse message /(GET \/[^\s]+ [\d]+ )(?<responseTime>[\d]+)/ 
| fields @timestamp, 
    combinedLatency = if(duration is not null, duration, responseTime)
| sort @timestamp desc

3. 数值类型合并（按需计算） #

如果两个字段都是数值类型，可先转换为数字再执行合并逻辑（比如取最大值、求和）：

fields @timestamp, @message
| parse durationMs /(?<duration>[\d]+ )/
| parse message /(GET \/[^\s]+ [\d]+ )(?<responseTime>[\d]+)/ 
| fields @timestamp, 
    combinedLatency = max(to_double(duration), to_double(responseTime))
| sort @timestamp desc

说明 #

• 示例中的combinedLatency是自定义的合并字段名，可根据需求修改。
• 若两个字段可能同时存在，需结合业务场景选择逻辑：比如取优先值、最大值、平均值，或直接拼接（针对字符串类型）。

内容的提问来源于stack exchange，提问作者sridhar249