Kusto中NOT IN等效语法问题：查询表1独有记录返回空结果

• !in是Kusto中合法的否定IN运算符，语法本身没有问题。
• 查询返回0条结果的常见原因：
  • Table2中存在NULL值：Kusto里IN/!IN处理NULL的逻辑是，只要子查询结果包含NULL，!in的比较结果会是unknown，不会筛选出任何行。这种情况需要先过滤掉Table2中的空值。
  • 数据类型不匹配：Table1和Table2的UniqueEventGuid字段类型不一致（比如一个是字符串，一个是guid类型），导致匹配失败。
  • 数据实际无差异：可能你认为的“孤立记录”实际在Table2中存在，可单独查询验证。

修正后的查询示例 #

方法1：过滤子查询中的空值 #

let outliers =
Table2
| where isnotnull(UniqueEventGuid)  // 若字段是字符串类型可用isnotempty
| project UniqueEventGuid;
Table1
| where UniqueEventGuid !in (outliers)
| project UniqueEventGuid

方法2：使用leftanti join（更高效的写法） #

Kusto中推荐用leftanti join实现“左表存在、右表不存在”的逻辑，性能通常优于!in：

Table1
| leftanti join (Table2 | project UniqueEventGuid) on UniqueEventGuid
| project UniqueEventGuid

内容的提问来源于stack exchange，提问作者Frank Kearney