KQL中是否存在类似bag_pack_columns_if的条件打包函数？

KQL目前没有内置的bag_pack_columns_if函数，但可以通过组合现有函数实现仅打包值不为"-"的字段的需求，以下是几种可行的实现方式：

方法1：先打包所有字段，再移除值为"-"的键值对 #

这种方式适合需要处理较多字段的场景，先通过bag_pack_columns打包目标字段，再筛选出值为"-"的键并移除：

SecurityEvents
| where EventID == 4738
// 列出所有需要处理的字段，打包成动态对象
| extend all_fields = bag_pack_columns(DisplayName, AccountName, TargetAccountName, NewUacValue, OldUacValue)
// 提取所有键，筛选出对应值为"-"的键列表
| extend keys_to_remove = bag_keys(all_fields)
| mv-apply key = keys_to_remove on (
    where all_fields[key] == "-"
    | summarize remove_list = make_list(key)
)
// 移除值为"-"的键值对，得到最终的过滤后对象
| extend filtered_bag = bag_remove_keys(all_fields, remove_list)
| project filtered_bag

方法2：逐个字段判断，仅打包非"-"的字段 #

如果需要处理的字段较少，可以直接通过bag_pack结合iff条件判断，只添加值不为"-"的键值对：

SecurityEvents
| where EventID == 4738
| extend filtered_bag = bag_pack(
    iff(DisplayName != "-", "DisplayName", ""), iff(DisplayName != "-", DisplayName, ""),
    iff(AccountName != "-", "AccountName", ""), iff(AccountName != "-", AccountName, ""),
    iff(TargetAccountName != "-", "TargetAccountName", ""), iff(TargetAccountName != "-", TargetAccountName, "")
)
// 移除可能存在的空键（当字段值为"-"时生成的空字符串键）
| extend filtered_bag = bag_remove_keys(filtered_bag, dynamic([""]))
| project filtered_bag

方法3：通过JSON转换和mv-apply构建过滤后的对象 #

这种方式更灵活，无需提前列出所有字段（如果需要处理当前行的所有字段）：

SecurityEvents
| where EventID == 4738
// 将目标字段打包为动态对象，这里用*处理所有字段，也可指定字段列表
| extend temp_bag = bag_pack_columns(*)
// 遍历键值对，筛选出值不为"-"的项并重新打包
| mv-apply kv = temp_bag on (
    where kv.Value != "-"
    | summarize filtered_bag = make_bag(pack(kv.Key, kv.Value))
)
| project filtered_bag

选择哪种方法取决于你需要处理的字段数量和灵活性需求，三种方式都能实现仅保留值不为"-"的键值对的动态对象。

内容的提问来源于stack exchange，提问作者JamesB202