KQL中AdditionalExtensions键值串解析及高效字段提取方案咨询

你想要的将字段转为属性包再提取的方案完全可行，且是当前场景下效率最高的实现方案，具体实现如下：

最优实现方案 #

使用KQL原生parse_kv()函数直接将键值对格式的AdditionalExtensions字段解析为动态属性包，再直接提取对应键值即可，该函数是专门为这类key1=value1;key2=value2格式优化的解析函数，执行效率远高于手动拆分提取：

YourLogTableName
// 直接解析为属性包：参数依次为目标字段、键值对分隔符、键与值的分隔符
| extend ExtFields = parse_kv(AdditionalExtensions, ";", "=")
// 按需提取字段，可根据需要转换对应数据类型
| extend Action = tostring(ExtFields.Action),
         User = tostring(ExtFields.User),
         SrcIpAddr = tostring(ExtFields.SrcIpAddr),
         SrcPortNumber = toint(ExtFields.SrcPortNumber)
// 输出需要的列
| project Action, User, SrcIpAddr, SrcPortNumber

如果你的运行环境不支持parse_kv，也可以用如下方法手动转属性包，效率依然高于逐个字段提取：

YourLogTableName
| extend ExtFields = dynamic({})
// 遍历拆分后的键值对，拼接为属性包
| mv-apply kv_pair = split(AdditionalExtensions, ";") on (
    extend kv = split(kv_pair, "=")
    | extend ExtFields = bag_merge(ExtFields, bag_pack(tostring(kv[0]), tostring(kv[1])))
)
| extend Action = tostring(ExtFields.Action),
         User = tostring(ExtFields.User)
| project Action, User

两种手动解析方案的效率对比 #

如果因特殊场景必须从拆分后的数组逐个提取字段，那么indexof() + substring()的方案效率远高于extract()正则提取方案：
正则表达式的运算开销远高于固定规则的字符串位置查找、截取操作，当需要提取30-40个字段时，正则的累计开销会被大幅放大，长周期查询时更容易出现卡顿、超时问题。

额外优化建议 #

如果你需要长期高频查询该日志的这些扩展字段，建议在数据引入链路中提前完成解析，将需要的字段直接作为独立列存储，查询时无需运行时解析，速度可提升数倍，完全避免长周期查询的卡顿问题。日常查询时尽量先加时间、业务维度的过滤条件，缩小扫描数据范围，也可以开启KQL查询缓存进一步提升重复查询的速度。

内容的提问来源于stack exchange，提问作者user3696106