Splunk-僅當搜索字段在查找表中包含單詞時如何獲取結果

Question

如果我有一個搜索結果，其中包含一個名為“ Field1”的字段，並且其值類似於：

現在是Word1。

現在是Word2。

現在是WordX。

現在是WordZ。

下面是Word的查詢表。

場1

Word1

Word2

Word3

Word4

Word5

Word6

我該如何搜索，以便僅在輸出結果下方顯示，因為它們包含查找表中的“ Word1”和“ Word2”？

現在是Word1。

現在是Word2。

Answer 1

一種方法是在子搜索中讀取查找文件。

index=foo [ | inputlookup words.csv | format ]

format命令將查找文件的內容設置為field = value格式，因此最終查詢將變為index=foo ((field1=Word1) OR (field1=Word2)) 。