Splunk transaction命令后语法高亮缺失及JSON批量展开问题

一、transaction命令后语法高亮消失的原因及处理 #

使用transaction命令后，Splunk会把多个原始事件合并成单一事务事件，原事件的独立字段结构被整合到一起，而List视图的字段语法高亮依赖于原始事件的字段解析逻辑，所以会失效，呈现出类似Raw视图的效果。你把事务转成JSON数组的方式能恢复高亮，是因为JSON结构能被Splunk的字段解析器重新识别。

二、JSON数组批量展开的方法 #

1. 用spath命令自动解析并展开所有字段 #

在搜索语句末尾加上spath命令，它会自动解析JSON格式的字段，把所有嵌套层级的字段都展开成顶层字段，不用手动点击加号：

application_name=appname | transaction startswith="This is the start of the transaction" endswith="This is the end of the transaction" | eval transaction_events=mvjson(events) | spath input=transaction_events

注：mvjson(events)是把事务里的事件列表转成JSON数组，spath会遍历JSON的所有层级，直接把嵌套字段提取出来在List视图展示。

2. 修改视图默认展开设置 #

在Splunk网页端的List视图里：

• 点击右上角的齿轮状设置图标
• 选择字段显示选项，找到默认展开嵌套字段的选项，勾选后保存，之后加载的JSON字段就会自动展开。

3. 用table命令指定展开特定字段 #

如果只需要展开部分字段，可以用table命令直接指定嵌套字段的路径，比如：

application_name=appname | transaction startswith="This is the start of the transaction" endswith="This is the end of the transaction" | eval transaction_events=mvjson(events) | spath input=transaction_events | table application_name transaction_events.*

这样会直接展示transaction_events下的所有子字段，不需要手动展开。

内容的提问来源于stack exchange，提问作者firstpostcommenter