splunk spl语法笔记

#重命名a为b
| rename a as b    #日期格式化并计算
| eval t1=strptime(time1,"%Y-%m-%dT%H:%M:%S.%3N%z"),t2=strptime(time2,"%Y-%m-%dT%H:%M:%S.%3N%z")
| eval duration=t2-t1  #变量值为0时显示的是变量名，需要如下判断(表示如果b+c等于0，那么结果就是0，否则就等于b+c的值)
| eval myvalue=if((b+c)=0,0,b+c) #保留两位小数
eval result=round(total,2)#在dashboard中使用单$来引用变量，如果嵌套使用的search中也有变量，需要在search中使用双$$
$value1$    //dashboard
$$value2$$    //search in dashboard#循环（将该字段的每个值的count都列出来放在一个table中）
| makeresults
| fields - _time
| eval multivalue="value1,value2,value3,value4"
| makemv multivalue delim=","
| mvexpand multivalue
| map search="| search index="xxx" source="yyy" myfield=$multivalue$ | stats count as fieldcount" 
| eval myfield=$multivalue$
| table myfield fieldcount#追加列
| appendcols[search index="xx" ...]#在table中加一列显示sparkline
| stats sparklin