Datadog日志搜索如何实现关键词大小写敏感匹配？

首先明确：Datadog默认的全文日志检索是大小写不敏感的，直接输入无字段限定的通配符关键词无法实现你需要的严格大小写匹配效果，但可以通过两种方式满足需求：

• 字段索引匹配法
  在日志接入处理阶段，用Grok解析规则把需要做大小写敏感匹配的文本内容提取为独立的日志属性（字段），关闭该字段的大小写不敏感索引开关。后续针对该字段做通配符搜索时，就会严格区分字符大小写。
  对应你的示例：如果把日志里的状态文本提取为update_content字段，搜索update_content:*phone*时只会命中包含全小写phone的日志，搜索update_content:*Phone*不会返回包含小写phone is updated的日志行，完全符合你的匹配预期。
• 正则匹配法
  不需要调整日志接入和索引配置，直接在搜索框使用Datadog支持的RE2正则语法做匹配即可，正则匹配默认是大小写敏感的。
  对应你的示例搜索写法：
  • 严格匹配全小写phone：输入/.*phone.*/，只会返回包含小写phone的日志，不会命中首字母大写的Phone
  • 严格匹配首字母大写Phone：输入/.*Phone.*/，只会返回对应大小写的匹配结果

注意：如果直接在全文搜索维度输入不带字段限定、也不走正则语法的*phone*/*Phone*，走的是默认全文分词索引，所有文本会被统一转小写后建索引，两种写法会返回完全一致的结果，无法实现大小写区分，这也是基础搜索语法文档里没有直接提到相关配置的原因——基础全文搜索本身不原生支持大小写敏感匹配，必须走上述两种路径实现。

内容的提问来源于stack exchange，提问作者GauravRatnawat