KQL中has_any匹配空字符串结果异常的原因及解决方法

1. 问题原因 #

has_any 运算符的文本匹配机制导致了这个异常结果。在KQL的文本匹配逻辑中，空字符串会被判定为所有非空字符串的子串。当你使用 has_any(dynamic([""])) 时，所有包含非空元素的列表都会被误判为匹配空字符串，最终返回所有行，而非仅包含空字符串的目标行。

2. 修正后的KQL实现 #

要精准筛选出动态列表列中包含空字符串的行，需要使用数组元素精确匹配的逻辑，以下是几种可行的写法：

方法一：使用array_has()函数（推荐，语义清晰） #

let foo1 = datatable(d: dynamic) [
    dynamic([""]),
    dynamic(["foobar"]),
    dynamic(["Alice", "Bob"]),
    dynamic(["Alice"])
];
foo1
| where array_has(d, "")

方法二：使用any()迭代数组做精确匹配 #

let foo1 = datatable(d: dynamic) [
    dynamic([""]),
    dynamic(["foobar"]),
    dynamic(["Alice", "Bob"]),
    dynamic(["Alice"])
];
foo1
| where any(x in d where x == "")

方法三：展开数组后筛选（适合需处理数组元素的复杂场景） #

let foo1 = datatable(d: dynamic) [
    dynamic([""]),
    dynamic(["foobar"]),
    dynamic(["Alice", "Bob"]),
    dynamic(["Alice"])
];
foo1
| mv-expand d to typeof(string)
| where d == ""
| project-away d // 若需保留原数组结构，可使用summarize重新聚合

内容的提问来源于stack exchange，提问作者sheldonzy