Kusto如何将含name-value对象数组的复杂JSON扁平化为结构化宽表

原有操作不生效的核心原因 #

• array_split(message, 1) 操作无效的原因：该函数的作用是将原数组按指定长度切分为嵌套子数组，无法识别数组元素内的name属性做匹配取值，操作后只会提升结构嵌套层级，完全无法实现按键提取值的目标。
• 直接使用 mv-expand message 操作不符合需求的原因：该操作会将数组内的每个元素拆分为独立的单行记录，天然会把1条原始记录拆分为与数组元素数相等的多行，和「单条原记录对应一行、三个指标值为独立列」的目标相悖。

正确实现方案 #

方案1：直接按属性索引提取（性能最优） #

针对结构固定的message数组，无需展开数组，直接通过数组索引匹配函数定位到对应name的元素，提取value即可，全程不改变原记录的行数。
示例代码：

// 替换为实际的源表名
YourSourceTable
// 确保message字段为动态类型，兼容字符串形式的JSON数组
| extend message = todynamic(message)
// 按name属性定位数组内对应元素，提取value并做类型转换
| extend
    sensorID = tostring(message[array_index_of(message, item.name == "sensorID")].value),
    eventT = todatetime(message[array_index_of(message, item.name == "eventT")].value),
    pressure = todouble(message[array_index_of(message, item.name == "pressure")].value)
// 移除原始嵌套的message字段
| project-away message

该方案无额外聚合计算，执行效率最高，适合数组结构稳定、元素name固定的场景。

方案2：mv-apply 聚合还原（兼容元素顺序不固定场景） #

如果数组内元素的排列顺序不固定，可使用mv-apply在单条原记录的局部上下文内展开数组，再通过聚合将展开的内容合并回单行，避免拆分为多行。
示例代码：

YourSourceTable
| extend message = todynamic(message)
// 在单条原记录的上下文内展开数组，聚合提取对应值
| mv-apply item = message to typeof(dynamic) on (
    summarize
        sensorID = tostring(any(item.value where item.name == "sensorID")),
        eventT = todatetime(any(item.value where item.name == "eventT")),
        pressure = todouble(any(item.value where item.name == "pressure"))
)
| project-away item

该方案不受数组元素排列顺序的影响，只要name匹配即可正确提取，对数组结构的兼容性更强。

关键注意事项 #

• 必须显式做类型转换：从动态JSON中提取的value默认是dynamic类型，需要根据列的预期属性转换为tostring、todatetime、todouble等具体类型，否则后续过滤、计算操作会触发类型不匹配错误。
• 区分mv-expand和mv-apply的适用场景：前者是全表范围的无上下文展开，会直接增加记录行数；后者是在每条原记录的局部上下文内执行子查询，配合聚合可以实现展开后还原为单行的效果。
• 若存在同name多值的场景，可将聚合函数any()替换为anyif()、max()、min()等，按业务需求取值。

内容的提问来源于stack exchange，提问作者dedotatedwam