Azure Data Explorer中KQL日期格式化异常问题求助

问题根源：时区不一致 #

你遇到的日期异常是因为datetime类型的时区解析规则导致的：

• Azure Data Explorer中，datetime值本质以UTC存储，但substring()、format_datetime()默认会按当前会话的时区来解析显示。
• 示例中ts1为2022-08-24 07:26:09.000（UTC），如果你的会话时区是UTC-5等西时区，这个时间对应的本地日期就是2022-08-23，最终格式化结果就会偏离预期。

解决方案 #

方案1：直接提取UTC日期（推荐）

使用Kusto内置的date()函数直接提取datetime的日期部分，完全不受时区影响：

datasource
| extend ts1 = datetime_add('day', -1, todatetime(timestamp))
| extend ts2 = date(ts1)  // 直接获取UTC日期，格式为yyyy-MM-dd
| extend ts3 = date(ts1)
| project timestamp, ts1, ts2, ts3
| sort by timestamp desc

方案2：强制格式化时使用UTC时区

在format_datetime()中指定第三个参数为'UTC'，固定按UTC时区解析：

datasource
| extend ts1 = datetime_add('day', -1, todatetime(timestamp))
| extend ts2 = format_datetime(ts1, 'yyyy-MM-dd', 'UTC')
| extend ts3 = format_datetime(ts1, 'yyyy-MM-dd', 'UTC')
| project timestamp, ts1, ts2, ts3
| sort by timestamp desc

方案3：直接获取昨日最后一条数据（简化需求）

如果你的核心需求是获取昨日数据的最后一条，无需额外格式化日期，直接过滤昨日数据并取最后一条即可：

// 按UTC时区过滤昨日数据
datasource
| where timestamp between (startofday(ago(1d)) .. endofday(ago(1d)))
| sort by timestamp desc
| take 1

如果需要按本地时区（如东八区）过滤昨日数据，可转换时区后处理：

datasource
| extend local_ts = convert_timezone('Asia/Shanghai', timestamp)
| where local_ts between (startofday(ago(1d)) .. endofday(ago(1d)))
| sort by timestamp desc
| take 1

内容的提问来源于stack exchange，提问作者Jeff