我可以在 Splunk 中動態引用令牌嗎？

Question

Splunk 新手...

不確定是否有辦法做到這一點。

假設我有一個令牌

<set token="token_1">one</set>
<set token="token_2">two</set>

假設我有另一個令牌：

<set token="qualifer">1</set>

然后我可以做類似的事情嗎

<eval token="value"> token_{qualifer} </eval>

並且基本上將值設置為1（token_1的值）？ 有效...

<set token="value"> one </set>

Answer 1

Splunk 中的令牌通過將令牌名稱括在$中來引用。

<eval token="value">token_$qualifer$</eval>

應該管用。

但是你想要的是一個嵌套的令牌引用，它看起來像這樣：

<eval token="value">$token_$qualifer$$</eval>

我不確定它會起作用。