如何使用指定列值作为动态键提取对应未知字段内容

处理事件搜索查询时，每条事件包含两类关联字段：

• 固定存在的字段col1
• 键名随机的未知字段（缩写为urcn）：该字段的键名随事件变化，搜索执行前无法提前确定，且每条事件中col1的取值，恰好对应当前事件里urcn的实际字段键名。

需求为：在搜索语句中，将col1的取值作为动态键，从对应urcn字段中提取目标输出数据。 #

示例1：表格格式输入 #

输入样例：

==============================
|  col1   |  urcn1 |  urcn2  |
==============================
|  urcn1  | Value_1|         |
------------------------------
|  urcn2  |        |  Value_2|
------------------------------

预期输出：

Value_1
Value_2

示例2：结构化事件格式输入 #

输入样例：

[
  {
    "type": "fwagods",
    "fwagods": {
        "name":"someNameHere",
        "age":23
    }
  },
  {
    "type": "zsaf",
    "zsaf": {
        "name":"someName2",
        "age":65
    }
  },
  {
    "type": "smorflafaum",
    "smorflafaum": {
        "name":"SomeName3",
        "age":41
    }
  }
]

该样例中固定字段col1对应事件的type字段，随机字段urcn为和type值同名的顶层字段。

预期输出：

name: someNameHere, age: 23
name: someName2, age: 65
name: SomeName3, age: 41

核心逻辑为动态字段引用：不要硬编码待取字段的名称，先读取当前行/事件中col1的取值，再将该值作为键，提取对应字段的内容即可。不同数据场景的通用写法如下：

• 表格类检索场景（日志查询、SQL类查询引擎）：使用引擎提供的动态列取值能力，直接读取col1值对应的列内容即可，通用伪代码逻辑：

-- 不同引擎的动态取值函数名略有差异，核心逻辑一致
SELECT dynamic_get(current_row, col1) AS target_value FROM data_table

针对表格样例，第一行col1取值为urcn1，语句会自动读取urcn1列的Value_1；第二行col1取值为urcn2，自动读取urcn2列的Value_2，完全匹配预期输出。

• 半结构化JSON事件检索场景：使用方括号动态键取值语法即可，通用伪代码逻辑：

FOR each_event IN event_stream:
    -- 先读取固定字段col1的值作为动态键
    dynamic_key = each_event["col1"]
    -- 用动态键取对应随机字段的内容
    target_content = each_event[dynamic_key]
    -- 按要求格式化输出即可

针对结构化事件样例，第一条事件col1（即type字段）取值为fwagods，语句会自动读取each_event["fwagods"]的嵌套内容，格式化后得到name: someNameHere, age: 23，其余事件按相同逻辑处理即可得到预期输出。

常见查询引擎的对应写法参考：

• Splunk：直接使用大括号动态引用即可，写法为eval target={col1}
• Elasticsearch：Runtime field中可通过doc[doc['col1'].value]获取动态字段内容
• 标准SQL引擎：可使用JSON提取函数、动态SQL或对应引擎提供的动态列取值函数实现，比如ClickHouse的json_extract、BigQuery的JSON_VALUE等。

内容的提问来源于stack exchange，提问作者tilted