KQL for ARG 如何判断数组中是否存在满足指定判定条件的元素

你之前的mvexpand写法加入了bagexpansion = array参数，该参数仅适用于动态包（键值对对象）的展开，不匹配数组类型的解析逻辑，才会导致除第一个元素外的其他数组内容丢失。

方案1：使用array_any函数（推荐，性能最优） #

不需要展开数组，直接判断数组内是否存在任意元素满足过滤条件，直接保留原行结构，不会生成多余的中间行：

| extend addrs = properties.addrs
| where array_any(addrs, (ip_item) => parse_ipv4(tostring(ip_item.ip)) > parse_ipv4("1.1.1.1"))

array_any的第一个参数为待判断的数组，第二个参数为自定义的元素校验规则，只要数组中有任意一个元素满足规则，整行就会被过滤保留。

方案2：使用mv-expand展开数组（适用于需要单独处理数组元素的场景） #

如果你后续需要对每一个符合条件的IP做单独统计、输出，可以使用正确的mv-expand写法：

| extend addrs = properties.addrs
| mv-expand addrs
| where parse_ipv4(tostring(addrs.ip)) > parse_ipv4("1.1.1.1")
// 若需要合并回原记录维度，可后续配合summarize操作去重

展开后每一行对应原数组的一个IP元素，你可以基于拆分后的数据做后续处理。

内容的提问来源于stack exchange，提问作者igorc