如何编写Splunk查询解析XML日志并提取字段生成目标表格

Splunk XML字段提取查询方案 #

你可以直接使用以下两种查询方式实现需求，任选其一即可：

方式1：自动解析（简单快捷，适合结构固定的XML日志）

# 请先替换下面的索引和sourcetype为你实际的日志对应值
index=你的业务索引 sourcetype=你的XML日志sourcetype
| xmlkv
| table Product EmployeeID Quantity CenterID

方式2：XPath精准提取（稳定性高，适合日志内容混杂、XML结构有波动的场景）

# 请先替换下面的索引和sourcetype为你实际的日志对应值
index=你的业务索引 sourcetype=你的XML日志sourcetype
| xpath "//Product/text()" output=Product
| xpath "//EmployeeID/text()" output=EmployeeID
| xpath "//Quantity/text()" output=Quantity
| xpath "//CenterID/text()" output=CenterID
| table Product EmployeeID Quantity CenterID

两种方式执行后都会直接输出你要求的四列结构化表格，字段值和日志里的XML内容完全对应。

内容的提问来源于stack exchange，提问作者user739115