如何自定义Splunk时间范围选择器？有无更高效查询方法？

1. 是否支持自定义Splunk时间范围选择器？ #

完全支持，有几种实用实现方式：

• 保存个人常用时间范围：打开时间选择器，选择「Custom time」，设置好起止时间后点击「Save As」，给这个范围命名（比如「今日工作时段」），之后就能直接在下拉菜单里快速选中，无需重复输入。
• 管理员全局配置：拥有管理员权限的话，可以修改$SPLUNK_HOME/etc/system/local/ui-prefs.conf文件，在[timerange]段添加自定义条目，示例：

  custom.1.label=昨日全天
  custom.1.search=earliest=-1d@d latest=@d
  custom.2.label=本周工作日
  custom.2.search=earliest=-w@w+1d latest=@w+5d
  

  配置后所有用户都能在时间选择器里看到这些自定义选项。
• 仪表盘时间控件定制：如果常用仪表盘查询，可以给仪表盘添加「时间输入控件」，在控件设置里预设好常用的时间范围选项，切换时直接点选即可。

2. 更高效的查询方式 #

除了自定义时间选择器，还有这些方法能大幅减少重复操作：

• 使用相对时间表达式：不用手动输入具体日期，直接用时间表达式替代，比如：
  • earliest=@d latest=@d+1d：代表今日0点到次日0点
  • earliest=-8h latest=now：最近8小时到当前时间
  • earliest=-7d@d latest=-1d@d：上周同期（前7天到前1天全天）
    可以直接把表达式写在搜索语句开头（如index=my_index earliest=@d latest=@d+1d | stats count by sourcetype），或者在时间选择器的「Custom time」输入框里填写。
• 保存常用搜索：把带固定时间范围的查询保存为「Saved Search」，需要执行时直接打开保存的搜索，不用重新设置时间和编写语句。
• 复用历史时间范围：时间选择器的「Recent」标签会记录你之前使用过的时间范围，直接点击就能快速复用，省去重复配置。
• 自动化批量查询：如果每日需要多次执行相同时间范围的查询，可以用Splunk CLI或REST API编写脚本，预设好时间参数后一键执行，适合批量操作场景。

内容的提问来源于stack exchange，提问作者Reg