问JSON与Splunk的键值

EN

只要你的JSON不是畸形的，Splunk就会接受它

用Splunk索引JSON与直接文本数据没有明显的区别

一些docs.Splunk参考资料供您学习：

• https://docs.splunk.com/Documentation/Splunk/8.0.3/Knowledge/Automatickey-valuefieldextractionsatsearch-time
• https://docs.splunk.com/Documentation/Splunk/8.0.3/SearchReference/Spath
• https://docs.splunk.com/Documentation/Splunk/8.0.3/Data/IFXandHEC

没有任何东西说您必须使用spath来处理JSON数据，顺便说一句:我经常使用多值 运营 (比如扩容 (当不是在eval中)，因为它们更简单、更容易理解。

根据我的经验，Splunk + JSON的性能在以后的Splunk版本中是很好的。能够以JSON的形式抛出任何您想要的东西，而不必担心逃逸等等，这使得整个事情变得更加简单。AFAIK Storm是Splunk的前身，Splunk从那时起就开始进化了。

如果您使用的是Java & Logback，您可以使用像logstash-logback编码器这样的库。LoggingEventCompositeJsonEncoder编码器允许您自定义所写的内容，这样它就可以很好地处理任何东西，而不仅仅是Logstash。