Splunk查询中如何同时使用多个正则表达式？

你的查询报错主要有两个核心原因：一是正则中的引号转义逻辑混乱，二是直接把四个字段的正则硬拼在一起，默认字段是连续按序出现，但实际日志里可能并非如此（或者正则里的字面量点未转义导致匹配异常）。下面给你两种实用的解决方案：

方案1：使用多个rex命令分别提取字段（推荐） #

这种方法最灵活，不管四个字段在日志中的顺序如何，都能准确提取每个字段，也是Splunk中提取多字段的常用方式：

source="xyz.log" 
| rex field=_raw "(?<time>\d{4}\.\d{2}\.\d{2}\s\d{2}\.\d{2}\.\d{2}\.\d{3})"
| rex field=_raw "deviceId\.\.\.(?<deviceId>\d+)"
| rex field=_raw "error\.\.\.\.code\.\.\.(?<errorCode>\w+)"
| rex field=_raw "\"message\.\.\.(?<errorMessage>.*?)\""
| table time deviceId errorCode errorMessage

关键说明： #

• 我把正则里的.转义成了\.：因为正则中默认.匹配任意单个字符，如果你的日志里是字面量的三个点（比如deviceId...），必须转义才能准确匹配，这也是确保单个正则正常但组合后出错的关键修复点。
• 每个rex单独处理一个字段，互不干扰，即使字段在日志中位置不固定也能正常提取。

方案2：修正引号转义后使用单个rex（仅当字段严格按序连续出现时用） #

如果你的日志里四个字段确实是按你写的顺序连续出现，只需要修正引号的转义问题即可。这里推荐用单引号包裹整个正则表达式，避免双引号转义的混乱：

source="xyz.log" 
| rex field=_raw '(?<time>\d{4}\.\d{2}\.\d{2}\s\d{2}\.\d{2}\.\d{2}\.\d{3}) deviceId\.\.\.(?<deviceId>\d+) error\.\.\.\.code\.\.\.(?<errorCode>\w+) "\"message\.\.\.(?<errorMessage>.*?)\"'
| table time deviceId errorCode errorMessage

如果你坚持用双引号包裹正则，需要把内部的双引号用双重反斜杠转义（因为Splunk搜索框会先解析一层转义）：

source="xyz.log" 
| rex field=_raw "(?<time>\d{4}\.\d{2}\.\d{2}\s\d{2}\.\d{2}\.\d{2}\.\d{3}) deviceId\.\.\.(?<deviceId>\d+) error\.\.\.\.code\.\.\.(?<errorCode>\w+) \\\"message\.\.\.(?<errorMessage>.*?)\\\""
| table time deviceId errorCode errorMessage

为什么原来的查询报错？ #

你原来的查询中，"\"message...部分的转义逻辑错误——在Splunk的双引号字符串中，单个反斜杠无法正确转义内部双引号，导致语法解析失败，这是最直接的报错原因。

内容的提问来源于stack exchange，提问作者Tobitor