如何在Splunk中为国旗emoji标注ISO 3166国家代码并给饼图添加对应国旗？

实现国旗emoji与ISO 3166国家代码映射标注 #

• 首先准备映射资源：整理ISO 3166-1 alpha2双字母国家代码与对应国旗emoji的键值对，存储为CSV文件，表头设置为countrycode、flag_emoji，录入所有你需要用到的国家对应关系。
• 上传映射表到Splunk：依次进入 系统设置 → 查找 → 查找表文件，上传刚才的CSV，之后新增对应的查找定义，命名为country_flag_lookup。
• 数据关联调用：在你的搜索语句中用lookup命令完成映射绑定，示例SPL如下：

<你的基础搜索逻辑>
| lookup country_flag_lookup countrycode OUTPUT flag_emoji

执行后每条带countrycode字段的数据都会自动生成对应的flag_emoji字段值。

实现饼图分类装饰国旗 #

• 完成上述映射后，先修改饼图的分类字段，把国旗和原有分类标识拼接，补充SPL逻辑如下：

| eval pie_category = flag_emoji." ".countrycode
| stats sum(percent) as percent by pie_category

• 切换到可视化面板，选择饼图类型，进入图表格式设置：
  • 打开「图例」设置项，开启显示图例，图例就会自动展示带国旗前缀的分类名称
  • 打开「工具提示」设置，选择自动展示字段，鼠标悬浮在饼图扇区时就会自动显示带国旗的分类信息和占比
• 如果你的Splunk版本较低不支持emoji渲染，可以将国旗emoji替换为本地存储的小尺寸国旗图标，在饼图的自定义渲染配置中给每个分类绑定对应图标资源即可。

内容的提问来源于stack exchange，提问作者ecmanaut