您可以将标记的值映射到另一个值吗？

Question

我想知道是否可以在查询中更改标记（下拉菜单）的值。

对于上下文：我有一个下拉菜单 - 其值为 1、2、3。我在搜索查询中使用这些值。但是，我还在使用 a、b、c 的同一仪表板上使用另一个具有不同索引的搜索查询。有没有一种方法可以映射值 1,2,3 -> a,b,c 或使用 eval 或其他方法在搜索查询中进行映射？

谢谢

Answer 1

如果我没理解错的话，您是想使用相同的基本搜索来填充多个下拉列表 - 这样正确吗？

当我想做这样的事情时，我在仪表板上做的是 XML，进行如下搜索：

<search id="dropdownbase">
    <query>index=ndx sourcetype=srctp fieldA=something fieldB=somethingelse earliest=-24h latest=now
    | stats count by fieldA fieldB
</search>

然后，在搜索下拉列表（即动态部分）时，add/modify以下内容：

<search base="dropdownbase"></search>

然后根据需要将值字段与标签字段设置为 fieldA 或 fieldB

Answer 2

当您从下拉列表中 select 一个项目时，您可以设置多个标记。这是一种方法，我相信还有其他方法。您将在第一次搜索中使用 token1，在第二次搜索中使用 token2。

<input type="dropdown" token="token1">
  <label>Select an option</label>
  <default>1</default>
  <choice value="1">1</choice>
  <choice value="2">2</choice>
  <choice value="3">3</choice>
  <change>
    <condition label="1">
      <set token="token2">a</set>
    </condition>
    <condition label="2">
      <set token="token2">b</set>
    </condition>
    <condition label="3">
      <set token="token2">c</set>
    </condition>
  </change>
</input>

您可以将标记的值映射到另一个值吗？

Can you map values of a token to another value?

splunk

splunk-query