REQ：協助Splunk-Rex查詢

Question

我在rex查詢中遇到一些問題，其中一位數字的日期會顯示錯誤的結果，而兩位數字的日期會提供正確的結果。

這些是我正在查詢的日志條目：

Mar  7 14:24:29 10.52.176.215 Mar  7 12:24:29 963568 - Melbourne details-cable-issue - vdvfvfv

Mar 20 09:52:55 10.52.176.215 Mar 20 07:52:55 963569 - Brisbane cable-issue

這是查詢：

^(?:[^ \n]* ){7}(?P<extension>[^ ]+)[^\-\n]*\-\s+(?P<location>\w+)

對於3月7日條目，我的查詢給了我組擴展名“ 7”，而我3月20日條目給了我組擴展名“ 963569”，這是正確的。

有人可以闡明我的查詢來確認一個兩位數的日期嗎？ ＃7 vs 20

謝謝大家:)

Answer 1

第一個字符串中有幾個連續的空格（它們看起來像填充空格），並且由於您僅匹配(?:[^ \\n]* )中的一個空格，因此會出現不匹配的情況。

我建議匹配第一組中的1個或多個空格並調整限制量詞：

^(?:[^ \n]* +){5}(?P<extension>[^ ]+)[^-\n]*-\s+(?P<location>\w+)
            ^  ^

見正則表達式演示