如何在Splunk中筛选仅含serviceA无serviceB日志的requestID？

现有以下三条日志数据：

{"level":"info","msg":"","requestID":"requestID1","service":"serviceA","time":"2025-09-02T13:38:06-07:00"}
{"level":"info","msg":"","requestID":"requestID1","service":"serviceB","time":"2025-09-02T13:38:06-07:00"}
{"level":"info","msg":"","requestID":"requestID2","service":"serviceA","time":"2025-09-02T13:38:06-07:00"}

需求是找出仅存在serviceA日志、没有同requestID的serviceB日志的请求ID（即示例中的requestID2）。

之前尝试了以下查询，但添加| where isnull(R.service)过滤后仍会出现R.service非空的记录：

service=serviceA 
| join type=outer left=L right=R where L.requestID=R.requestID 
    [ search service=serviceB] 
| where isnull(R.service) 
| table _time, L.service, R.service 
| sort -_time

方法一：使用stats统计（推荐，性能更优） #

通过stats按requestID聚合所有关联的service，再筛选仅包含serviceA的记录：

# 替换为你的实际索引名称
index=<你的索引>
| stats values(service) as services by requestID
# 筛选仅包含serviceA的requestID
| where mvcount(services) = 1 AND services = "serviceA"
| table requestID

values(service)会把每个requestID对应的所有service去重后存为多值字段，mvcount(services)=1确保该requestID只有一种service，再加上services="serviceA"就能精准筛选出目标requestID。

方法二：修正join查询逻辑 #

如果坚持用join，需要改用type=left（左外连接），并先对左右表的requestID去重，避免重复匹配导致的多余记录：

index=<你的索引> service=serviceA
| dedup requestID  # 去重每个requestID的serviceA记录
| join type=left requestID 
    [ search index=<你的索引> service=serviceB | dedup requestID ]
# 过滤掉存在serviceB记录的requestID
| where isnull(service)
| table requestID, _time

type=left会保留左表（serviceA）的所有requestID，右表（serviceB）匹配到的会显示对应字段，未匹配到的字段为null，此时where isnull(service)就能筛选出没有serviceB记录的requestID。

原查询无效的原因：全外连接（type=outer）会返回左右表所有匹配/不匹配的记录，再加上未对requestID去重的情况下，同requestID的多条serviceA记录会和serviceB记录多次匹配，导致部分记录仍保留R.service的值，过滤条件无法完全剔除。

内容的提问来源于stack exchange，提问作者Kurt Peek