求用于拆分JSON日志文件事件的正则表达式（Splunk适用）

你遇到的核心问题是原正则用了贪婪匹配逻辑，导致把日志里所有的JSON数组都合并成了一个事件分组。针对你提供的这种由多个独立[ {...} ... ] JSON数组块组成的日志格式，我们可以调整正则规则来精准拆分每个事件。

问题根源分析 #

如果你的原正则用了类似\[.*\]的写法，贪婪匹配特性会让它从第一个[一直匹配到最后一个]，自然就把所有内容都塞进了一个分组里。我们需要让正则识别出每个独立闭合的JSON数组边界。

具体解决方案 #

1. 精准匹配单个JSON数组的正则表达式

使用非贪婪模式来限制匹配范围，确保只捕获单个完整的JSON数组：

\[(\s*\{.*?\}\s*(?:,\s*\{.*?\}\s*)*)\]

• \[：匹配数组的起始左括号
• (\s*\{.*?\}\s*(?:,\s*\{.*?\}\s*)*)：匹配数组内所有JSON对象，非贪婪的.*?会避免跨数组匹配到下一个]
• \]：匹配数组的结束右括号

2. Splunk中的两种配置方式

方式一：索引阶段拆分（推荐）

直接在Splunk的props.conf文件中，针对目标 sourcetype 配置事件拆分规则，让数据在索引时就完成拆分：

[your_target_sourcetype]
LINE_BREAKER = (\[(\s*\{.*?\}\s*(?:,\s*\{.*?\}\s*)*)\])
SHOULD_LINEMERGE = false
TRUNCATE = 0  # 若日志内容较长，添加此参数避免内容被截断

方式二：搜索时动态拆分

如果无法修改索引配置，可以在搜索过程中用rex和mvexpand来提取并拆分事件：

index=your_index sourcetype=your_sourcetype
| rex max_match=0 "\[(?<event_json>(?:\s*\{.*?\}\s*(?:,\s*\{.*?\}\s*)*))\]"
| mvexpand event_json
| spath input=event_json  # 可选：将JSON内容提取为Splunk可直接搜索的字段

效果验证 #

针对你提供的日志内容：

[ { "name" : "CounterpartyNotional", "type" : "RiskBreakdown", "duration" : 20848, "count" : 1, "average" : 20848.0 }, { "name" : "CounterpartyPreSettlement", "type" : "RiskBreakdown", "duration" : 15370, "count" : 1, "average" : 15370.0 } ] [ { "name" : "TraderCurrency", "type" : "Formula", "duration" : 344, "count" : 1, "average" : 344.0 } ]

上述正则会分别捕获到两个独立的JSON数组，每个数组都会被识别为一个单独的事件，完美解决你当前的分组问题。

内容的提问来源于stack exchange，提问作者Ankit Goyal