Splunk子查询模糊匹配csv中字段值为*

之前我们的案例中常用的是直接在spl中用*来模糊匹配，但是如果在一个csv中定义某个字段的值为*，然后在spl里对该csv进行查询时，这个*值是否还表示模糊匹配？针对这个疑问，做了如下测试：

• 创建csv测试数据

| makeresults
| eval student_name="T*",hometown="Zhejiang"
| fields - _time
| outputlookup student.csv
#这里我想表示的是名字以T开头的，所有学生的hometown都是Zhejiang

查看csv：

•  使用spl将原数据与csv合并查询

| makeresults
| eval student_name="Tina",age="17",hometown="Zhejiang"
| search 
    [| inputlookup student.csv
    | fields student_name hometown]
| table student_name age hometown

这条数据中的学生名字是以开头的，如果csv中的T*可以表示模糊匹配的话，那么我们的执行结果应该是可以查询出来这条数据，如果csv中的T*表示字符串"T*"，那么就查不出来结果。

执行结果：

Case1:

Case2：

 说明csv中的T*表示模糊匹配。

Case3：

Case4：

通过上面的测试可以得出，csv中的字段值为*时，表示模糊匹配而不是字符串。